ルートレスコンテナ
root 権限なしで動くコンテナ。ランタイムもコンテナ内のプロセスも、ホスト上で root である必要がない。
従来の Docker は root のデーモンとして動いており、コンテナ脱出に成功されればホストの root を奪われかねなかった。ルートレスはユーザー名前空間でこれを解決する。コンテナ内の root（UID 0）をホスト上の一般ユーザーの UID に対応付けるため、コンテナ内で完全な root になってもホストでは無力である。先駆けは Podman（デーモンレスかつ既定でルートレス）で、Docker や containerd にもルートレスモードがある。
似て非なるものとして、Dockerfile の USER 行でコンテナ内プロセスを非 root にする方法があり、Pod Security Standards の「Restricted」はこちらを要求する。利点は脱出されたときの被害が大幅に減ることと、sudo なしでコンテナを動かせること。引き換えに、特権ポートや一部のマウントには追加設定が要る。ハードニングの基本原則のひとつである。