Como defino um parâmetro sysctl na inicialização?

O sudocomando é realmente destinado a elevar privilégios em uma sessão interativa - em particular, ele espera ler a senha do usuário autenticador através de um tty (ou outro mecanismo interativo especificado via SUDO_ASKPASS). Sempre que você quiser executar um comando com privilégios elevados de forma não interativa, geralmente há uma maneira melhor de fazer isso - por exemplo

• crontabatravés de uma entrada raiz
• através de um serviço do sistema systemd

No caso do sysctl, há uma opção ainda melhor: através de um arquivo de configuração drop-in. De man sysctl.d:

DESCRIPTION
   At boot, systemd-sysctl.service(8) reads configuration files from the
   above directories to configure sysctl(8) kernel parameters.

Assim, você pode simplesmente criar um arquivo /etc/sysctl.de adicioná- name = valuelo - com seu editor de texto favorito ou, por exemplo, usando

echo 'kernel.apparmor_restrict_unprivileged_userns = 0' | 
  sudo tee /etc/sysctl.d/20-apparmor-etcher.conf

(além do .confsufixo, o nome do arquivo é arbitrário - sugiro que você escolha algo que seja significativo para você).

_{Meu kernel atual (5.15.0-105-genérico) não parece ter o kernel.apparmor_restrict_unprivileged_usernsparâmetro, então testei com kernel.unprivileged_userns_apparmor_policyele.}