包括 user IDs and group IDs，,和 。同样一个用户的 user ID 和 group ID 在不同的 user namespace 中可以不一样(与 PID nanespace 类似)。换句话说，一个用户可以在一个 user namespace 中是普通用户，但在另一个 user namespace 中是超级用户。调用 unshare 或者 clone 创建新的 user namespace 时，当前进程原来所在的 user namespace 为父 user namespace，新的 user namespace 为子 user namespace。
用户映射到了外面的 nick 用户(接下来会介绍映射相关的概念)。在新的 user namespace 中，root 用户是有权限创建其它的 namespace 的，比如 uts namespace。这是因为当前的 bash 进程拥有全部的 capabilities：
创建其它类型的 namespace 都需要 CAP_SYS_ADMIN 的 capability。当新的 user namespace 创建并映射好 uid、gid 了之后，
后执行剩下的其他 CLONE_NEW*，这样就使得不用 root 用户而创建新的容器成为可能，这条规则对于clone 函数也同样适用。
用户在 user namespace 之间的映射，下面我们同样通过演示来理解映射是什么。我们先查看下当前用户的 ID 和 user namespace 情况：
后执行 unshare --user /bin/bash 命令创建一个新的 user namespace，注意这次没 -r 参数：
用户变成了 nobody，并且 ID 也变成了 65534。来，这一步是必须的，因为这样系统才能控制一个 user namespace 里的用户在其他 user namespace 中的权限(比如给其它 user namespace 中的进程发送信号，或者访问属于其它 user namespace 挂载的文件)。获取 user ID 和 group ID 时，系统将返回文件 /proc/sys/kernel/overflowuid 中定义的 user ID 以及 proc/sys/kernel/overflowgid 中定义的 group ID，它们的默认值都是 65534。也就是说如果没有指定映射关系的话，会默认会把 ID 映射到 65534。
用户在新的 user namespace 中的映射。方法就是添加映射信息到 /proc/PID/uid_map 和 /proc/PID/gid_map (这里的 PID 是新 user namespace 中的进程 ID，刚开始时这两个文件都是空的)文件中。这两个文件中的配置信息的格式如下(每个文件中可以有多条配置信息)：
文件的写入操作有着严格的权限控制，简单点说就是：文件的拥有者是创建新的 user namespace 的用户，所以和这个用户在一个 user namespace 中的 root 账号可以写；这个用户自己是否有写 map 文件的权限还要看它有没有 CAP_SETUID 和 CAP_SETGID 的 capability。注意：只能向 map 文件写一次数据，但可以一次写多条，并且最多只能 5 条。开始执行用户的映射操作(把用户 nick 映射为新 user namespace 中的 root)。，先在第一个 shell 窗口中查看当前进程的 ID：
，新打开一个 shell 窗口，我称之为第二个 shell 窗口。查看进程 3049 的映射文件属性：
用户 nick 是这两个文件的所有者，让我们尝试向这两个文件写入映射信息：
文件的所有者，却没有权限向文件中写入内容！其实根本的原因在于当前的 bash 进程没 CAP_SETUID 和 CAP_SETGID 的权限：
文件写入映射信息：
，回到第一个 shell 窗口
用户已经变成了 root(新的 user namespace 中的 root 用户)。在看看当前 bash 进程具有的 capability：
，在第一个 shell 窗口中
修改主机的名称：
看来这个新 user namespace 中的 root 用户在父 user namespace 里面不好使。这也正是 user namespace 所期望达到的效果，当访问其它 user namespace 里的资源时，是以其它 user namespace 中的相应用户的权限来执行的，比如这里 root 对应父 user namespace 的用户是 nick，所以改不了系统的 hostname。用户 nick 没有修改 hostname 的权限，那把默认的 user namespace 中的 root 用户映射为子 user namespace 中的 root 用户后可以修改 hostname 吗？答案是，不行！那是因为不管怎么映射，当用子 user namespace 的用户访问父 user namespace 的资源的时候，它启动的进程的 capability 都为空，所以这里子 user namespace 的 root 用户在父 user namespace 中就相当于一个普通的用户。
Linux 下的每个 namespace，都有一个 user namespace 与之关联，这个 user namespace 就是创建相应 namespace 时进程所属的 user namespace，相当于每个 namespace 都有一个 owner(user namespace)，这样保证对任何 namespace 的操作都受到 user namespace 权限的控制。这也是为什么在子 user namespace 中设置 hostname 失败的原因，因为要修改的 uts namespace 属于的父 user namespace，而新 user namespace 的进程没有老 user namespace 的任何 capabilities。文件中)：
功能决定的，涉及到权限管理的内容时，事情往往会变得不那么直观。笔者在本文中也只是介绍了 user namespace 的基本概念，更多丰富有趣的内容还有待大家自行发掘。
