Move criação de subuid/subgid para hook de pre-start (userns-allow)