selinuxの説明を読んでいて
「rootのできることを制限する」という件に関して疑問に思ったのですが、
この場合、root自体がselinuxの設定を変更できなくなる、はずで、
そうなると誰がトップ管理者になるのか、ということが疑問になるわけですが、
別のユーザがいわゆるselinux用の管理権限を持つ、という認識であってるでしょうか？

となると
たとえば、kernelに権限昇格の脆弱性が出た時に
selinux用の管理権限を持つユーザに昇格されたら全く意味がないことになりませんか？
実際のところkernelの脆弱性などに対してselinuxって効果的なんでしょうか？