ユーザー名前空間は、デフォルトでは無効になっているLinuxカーネルの名前空間であり、Dockerエンジンの実行時に有効にする必要があります。ユーザー名前空間により、ホストシステムは自身のuidとgidをコンテナのプロセスの別のuidとgidにマッピングできます。これにより、ユーザーIDとグループIDの番号空間が分離され、プロセスのユーザーIDとグループIDがユーザー名前空間の内外で異なるものになるので、Dockerのセキュリティが向上します1。ユーザー名前空間を有効にするには、デーモンを--userns-remapフラグで起動し、ベースuid/gidを指定するパラメータを設定する必要があります2。すべてのコンテナは、/etc/subuidと/etc/subgidに基づいて同じマッピング範囲で実行されます3。参考資料：
* ユーザー名前空間でコンテナを分離する
* Dockerでのユーザー名前空間の使用
* Docker 1.10 セキュリティ機能、パート3: ユーザー名前空間

提供されたKubernetes NetworkPolicy YAML構成は、デフォルトのnamespace1にあるtier: backendラベルを持つポッドにポリシーが適用されることを示しています。このイングレスルールは、tier: api1ラベルを持つポッドからのトラフィックを許可します。したがって、tier:frontendラベルのみを持つポッドからtier: backendラベルを持つポッドへのリクエストは、このnetworkPolicy1によってブロックされます。これは、networkPolicyにtier: frontendラベル1を持つポッドからのイングレスを許可するルールがないためです。Kubernetes NetworkPolicyの詳細については、Kubernetesドキュメントのネットワークポリシーを参照してください。

イメージのロールベースアクセス制御はUCPの機能ではありません。UCPには独自の認証メカニズムが組み込まれており、LDAPサービスと統合されています。また、ロールベースアクセス制御（RBAC）も備えているため、クラスタやアプリケーションへのアクセスと変更を行えるユーザーを制御できます1。ただし、イメージのロールベースアクセス制御はDocker Trusted Registry（DTR）の機能であり、UCPと統合することでアプリケーションで使用するイメージを管理できます2。DTRを使用すると、イメージをプッシュ、プル、削除、スキャンできるユーザーなど、イメージに対するきめ細かな権限を定義できます3。参考資料：Universal Control Planeの概要、Docker Trusted Registryの概要、Docker Access Control）

説明
イメージに「nginx:immutable」タグを付けても、「nginx:latest」などのイメージがリポジトリへのプッシュ権限を持つ他のユーザーによって上書きされるのを防ぐことはできません。イメージに「nginx:immutable」タグを付けると、
'nginx:immutable' はイメージに新しいタグを作成するだけで、元のタグの上書きを防ぐことはできません。Docker Trusted Registry でイメージタグの上書きを防ぐには、DTR ウェブ UI を使用してタグを不変にすることができます1。これにより、リポジトリへのプッシュ権限を持つユーザーであっても、同じタグを持つ新しいイメージをプッシュできなくなります1。また、DTR API を使用してタグを不変にすることもできます2。参考資料: タグの上書きを防ぐ (DTR API リファレンス)