Rootless container
Een container die zonder rootrechten draait — noch de containerruntime noch het proces erin hoeft root op de host te zijn. Het dicht een groot beveiligingslek: wie uit een rootless container breekt, belandt als onbevoorrechte gebruiker en niet als root.
Probleem: van oudsher draaide Docker als root-daemon, en een container die „uit de root brak" (container escape) kon root op de host krijgen — catastrofaal. Rootless lost dit op met user namespaces: container-root (UID 0 in de container) wordt gekoppeld aan een gewone onbevoorrechte UID op de host, zodat zelfs volledige root binnen buiten onschadelijk is. Podman was een pionier (daemonloos en standaard rootless); ook Docker en containerd kennen rootless-modi. Verwant maar apart: het proces in de container als non-root draaien (een USER-regel in de Dockerfile), wat de „Restricted" Pod Security Standard vereist. Winst: een sterk verkleind gevolg van een container escape, en ontwikkelaars kunnen containers draaien zonder sudo. Nadeel: sommige functies (bevoorrechte poorten, bepaalde mounts) vragen extra configuratie. Een centraal hardeningprincipe. Verwant aan Pod Security Standards en namespaces (Linux).