Kubernetes/OpenShift中的allowPrivilegeEscalation=true和RequiredDropCapabilities=SETUID

我在这里读过这些描述: https://kubernetes.io/docs/concepts/policy/pod-security-policy/#privilege-escalation

我仍然很困惑,这些设置是否相同但相反?比如在OpenShift的 restricted 我们有 SETUID 作为 RequiredDropCapabilities .同时,在同一SCC中,我们 allowPrivilegeEscalation 是的。

一个不允许在其他用户下启动流程,但另一个允许吗?

这就是我读到的 允许特权扩展 =正确:

这默认为allowed,以便不破坏setuid二进制文件

对于SETUID:

setuid()设置调用进程的有效用户ID

(来自 http://man7.org/linux/man-pages/man2/setuid.2.html )

谁能给我解释一下吗?