ICode9
精准搜索请尝试： 精确搜索
首页
编程语言>
数据库
系统相关
互联网
其他分享
Python
Java
JavaScript
android
PHP
首页 > 其他分享> 文章详细

podman

2022-05-10 00:32:33  阅读：294  来源： 互联网

标签：podman localhost conf docker root containers


什么是Podman？

Podman 是一个开源的容器运行时项目，可在大多数 Linux 平台上使用。Podman 提供与 Docker 非常相似的功能。正如前面提到的那样，它不需要在你的系统上运行任何守护进程，并且它也可以在没有 root 权限的情况下运行。

Podman 可以管理和运行任何符合 OCI（Open Container Initiative）规范的容器和容器镜像。Podman 提供了一个与 Docker 兼容的命令行前端来管理 Docker 镜像。

Podman 官网地址：https://podman.io/

Podman和Docker的主要区别是什么？

  • dockers在实现CRI的时候，它需要一个守护进程，其次需要以root运行，因此这也带来了安全隐患。
  • podman不需要守护程序，也不需要root用户运行，从逻辑架构上，比docker更加合理。
  • 在docker的运行体系中，需要多个daemon才能调用到OCI的实现RunC。
  • 在容器管理的链路中，Docker Engine的实现就是dockerd
  • daemon，它在linux中需要以root运行，dockerd调用containerd，containerd调用containerd-shim，然后才能调用runC。顾名思义shim起的作用也就是“垫片”，避免父进程退出影响容器的运行
  • podman直接调用OCI,runtime（runC），通过common作为容器进程的管理工具，但不需要dockerd这种以root身份运行的守护进程。
  • 在podman体系中，有个称之为common的守护进程，其运行路径通常是/usr/libexec/podman/conmon，它是各个容器进程的父进程，每个容器各有一个，common的父则通常是1号进程。podman中的common其实相当于docker体系中的containerd-shim。

 

 

 

图中所体现的事情是，podman不需要守护进程，而dorker需要守护进程。在这个图的示意中，dorcker的containerd-shim与podman的common被归在Container一层。

Podman的使用与docker有什么区别？

podman的定位也是与docker兼容，因此在使用上面尽量靠近docker。在使用方面，可以分成两个方面来说，一是系统构建者的角度，二是使用者的角度。

在系统构建者方面，用podman的默认软件，与docker的区别不大，只是在进程模型、进程关系方面有所区别。如果习惯了docker几个关联进程的调试方法，在podman中则需要适应。可以通过pstree命令查看进程的树状结构。总体来看，podman比docker要简单。由于podman比docker少了一层daemon，因此重启的机制也就不同了。

在使用者方面，podman与docker的命令基本兼容，都包括容器运行时（run/start/kill/ps/inspect），本地镜像（images/rmi/build）、镜像仓库（login/pull/push）等几个方面。因此podman的命令行工具与docker类似，比如构建镜像、启停容器等。甚至可以通过alias

docker=podman可以进行替换。因此，即便使用了podman，仍然可以使用http://docker.io作为镜像仓库，这也是兼容性最关键的部分。

Podman常用命令

 容器
 2 
 3 podman run           创建并启动容器
 4 podman start         启动容器
 5 podman ps            查看容器
 6 podman stop          终止容器
 7 podman restart       重启容器
 8 podman attach        进入容器
 9 podman exec          进入容器
10 podman export        导出容器
11 podman import        导入容器快照
12 podman rm            删除容器
13 podman logs          查看日志
 镜像
 
16 podman search                检索镜像
17 podman pull                  获取镜像
18 podman images                列出镜像
19 podman image Is              列出镜像
20 podman rmi                   删除镜像
21 podman image rm              删除镜像
22 podman save                  导出镜像
23 podman load                  导入镜像
24 podmanfile                   定制镜像（三个）
25   podman build             构建镜像
26     podman run               运行镜像
27     podmanfile               常用指令（四个）
28       COPY                 复制文件
29         ADD                  高级复制
30         CMD                  容器启动命令
31         ENV                  环境变量
32         EXPOSE               暴露端口
33         FROM                 镜像来之

部署 Podman

 

[root@localhost ~]# cd /etc/yum.repos.d/
[root@localhost yum.repos.d]# ls
CentOS-Stream-AppStream.repo CentOS-Stream-Extras.repo CentOS-Stream-NFV.repo CentOS-Stream-ResilientStorage.repo
CentOS-Stream-BaseOS.repo CentOS-Stream-HighAvailability.repo CentOS-Stream-PowerTools.repo CentOS-Stream-Sources.repo
CentOS-Stream-Debuginfo.repo CentOS-Stream-Media.repo CentOS-Stream-RealTime.repo
[root@localhost yum.repos.d]# rm -rf *   #   删除掉
[root@localhost yum.repos.d]# ls
[root@localhost yum.repos.d]# curl -o /etc/yum.repos.d/CentOS-Base.repo https://mirrors.aliyun.com/repo/Centos-vault-8.5.2111.repo
[root@localhost yum.repos.d]# ls   #  换成国内的源
CentOS-Base.repo
[root@localhost yum.repos.d]# sed -i -e '/mirrors.cloud.aliyuncs.com/d' -e '/mirrors.aliyuncs.com/d' /etc/yum.repos.d/CentOS-Base.repo  #  相关的东西删掉
[root@localhost yum.repos.d]# dnf clean all
21 文件已删除
//安装podman docker和podman不能同时存在
[root@localhost ~]# yum -y install podman
[root@localhost ~]# podman ps   #  查看容器
CONTAINER ID  IMAGE       COMMAND     CREATED     STATUS      PORTS       NAMES
[root@localhost ~]# podman images  #  查看镜像
REPOSITORY  TAG         IMAGE ID    CREATED     SIZE

 

 

 

Podman 加速器

 

版本8配置加速器

[root@localhost ~]# podman info  #  查看有没有配加速器
registries:      #  收索的位子，没有加速器
search:
- registry.fedoraproject.org
- registry.access.redhat.com
- registry.centos.org
- docker.io
[root@localhost ~]# cd /etc/containers/   # 配置加速器的位子
[root@localhost containers]# ls
certs.d oci policy.json registries.conf registries.conf.d registries.d storage.conf
[root@localhost containers]# vim registries.conf
#unqualified-search-registries = ["registry.fedoraproject.org", "registry.access.redhat.com", "registry.centos.org", "docker.io"]
unqualified-search-registries = ["docker.io"]  #   复制上一条，把上一条注释掉，然后删除前3个保留最后一个，运行容器就不用选择了
[[registry]]    #   配置加速器
prefix = "docker.io"
location = "j3m2itm3.mirror.aliyuncs.com"   #（不用加https://  直接加地址）

 

 

 

 

使用 Podman

使用 Podman 非常的简单，Podman 的指令跟 Docker 大多数都是相同的。下面我们来看几个常用的例子：

运行一个容器

  [root@localhost containers]# podman info
  registries:   #  修改以后再来查看就有了
  docker.io:
  Blocked: false
  Insecure: false
  Location: j3m2itm3.mirror.aliyuncs.com
  MirrorByDigestOnly: false
  Mirrors: null
  Prefix: docker.io
[root@localhost containers]# podman run -d --name web -p 8080:80 httpd    #  启动容器
Resolving "httpd" using unqualified-search registries (/etc/containers/registries.conf)
Trying to pull docker.io/library/httpd:latest...
Getting image source signatures
Copying blob 67283bbdd4a0 done  
Copying blob dcc4698797c8 done  
Copying blob d982c879c57e done  
Copying blob 41c22baa66ec done  
Copying blob a2abf6c4d29d done  
Copying config dabbfbe0c5 done  
Writing manifest to image destination
Storing signatures
8b218d5278480345fbcb47592cbff1a3d0bbf63b6a67f747795b7df9862c6e35
[root@localhost containers]# podman ps  # 查看容器
CONTAINER ID  IMAGE                           COMMAND           CREATED        STATUS            PORTS                 NAMES
8b218d527848  docker.io/library/httpd:latest  httpd-foreground  2 minutes ago  Up 2 minutes ago  0.0.0.0:8080->80/tcp  web
[root@localhost containers]# podman images    # 查看镜像
REPOSITORY               TAG         IMAGE ID      CREATED       SIZE
docker.io/library/httpd  latest      dabbfbe0c57b  4 months ago  148 MB

 

列出运行的容器

 

1 [root@localhost ~]# podman ps
2 CONTAINER ID  IMAGE                           COMMAND           CREATED         STATUS             PORTS                 NAMES
3 8b218d527848  docker.io/library/httpd:latest  httpd-foreground  28 minutes ago  Up 28 minutes ago  0.0.0.0:8080->80/tcp  web
4 1440b4f202c1  docker.io/library/httpd:latest  httpd-foreground  44 seconds ago  Up 44 seconds ago                        angry_booth
5 df6338b66702  docker.io/library/httpd:latest  httpd-foreground  41 seconds ago  Up 41 seconds ago                        focused_goldstine
6 86e1be07283a  docker.io/library/httpd:latest  httpd-foreground  40 seconds ago  Up 40 seconds ago

 

 

 

注意：如果在ps命令中添加-a，Podman 将显示所有容器。

检查正在运行的容器

您可以“检查”正在运行的容器的元数据和有关其自身的详细信息。我们甚至可以使用 inspect 子命令查看分配给容器的 IP 地址。由于容器以无根模式运行，因此未分配 IP 地址，并且该值将在检查的输出中列为“无”。

1 [root@localhost ~]# podman inspect -l | grep -i ipaddr 
2             "IPAddress": "10.88.0.5",
3                     "IPAddress": "10.88.0.5",
4 [root@localhost ~]# curl 10.88.0.5
5 <html><body><h1>It works!</h1></body></html>

 

注意：-l 是最新容器的便利参数。您还可以使用容器的 ID 代替 -l。

查看一个运行中容器的日志

选项
  -l    #最近的

[root@localhost ~]# podman logs -l
AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 10.88.0.5. Set the 'ServerName' directive globally to suppress this message
AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 10.88.0.5. Set the 'ServerName' directive globally to suppress this message
[Mon May 09 11:10:03.315932 2022] [mpm_event:notice] [pid 1:tid 140352305364288] AH00489: Apache/2.4.52 (Unix) configured -- resuming normal operations
[Mon May 09 11:10:03.316951 2022] [core:notice] [pid 1:tid 140352305364288] AH00094: Command line: 'httpd -D FOREGROUND'
10.88.0.1 - - [09/May/2022:11:18:13 +0000] "GET / HTTP/1.1" 400 226
10.88.0.1 - - [09/May/2022:11:18:18 +0000] "GET / HTTP/1.1" 200 45

查看一个运行容器中的进程资源使用情况

语法：
  podman top <container_id>

[root@localhost ~]# podman run -d httpd
852767541fbed939df7d22419a0a42201ccff82c82afaf31f1e753f7cdda8f15
[root@localhost ~]# podman top -l
USER PID PPID %CPU ELAPSED TTY TIME COMMAND
root 1 0 0.000 30.641865689s ? 0s httpd -DFOREGROUND
www-data 9 1 0.000 30.642133621s ? 0s httpd -DFOREGROUND
www-data 10 1 0.000 30.642247531s ? 0s httpd -DFOREGROUND
www-data 11 1 0.000 30.642379846s ? 0s httpd -DFOREGROUND 

 

停止一个运行中的容器

[root@localhost ~]# podman stop -l
852767541fbed939df7d22419a0a42201ccff82c82afaf31f1e753f7cdda8f15
[root@localhost ~]# podman ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
[root@localhost ~]# podman ps -a
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
852767541fbe docker.io/library/httpd:latest httpd-foreground 10 minutes ago Exited (0) 13 seconds ago infallible_feistel

删除一个容器

 

1 [root@localhost ~]# podman rm -f -l
2 86e1be07283a49eb09e7ffdc986dbccf210fa334bd9c9d5030b6b503aa2b5ef2
3 [root@localhost ~]# podman ps
4 CONTAINER ID  IMAGE       COMMAND     CREATED     STATUS      PORTS       NAMES

 

以上这些特性基本上都和 Docker 一样，Podman 除了兼容这些特性外，还支持了一些新的特性。

上传镜像

 1 [root@localhost ~]# mkdir test
 2 [root@localhost ~]# cd test/
 3 [root@localhost test]# vim Podmanfile
 4 FROM busybox
 5 
 6 ENV a 10  #   保存   
 7 [root@localhost test]# podman build -f Podmanfile -t test:v0.1 . # 制作镜像，加-f可以换成别的文件名
 8 STEP 1/2: FROM busybox  
 9 Resolved "busybox" as an alias (/etc/containers/registries.conf.d/000-shortnames.conf)
10 Trying to pull docker.io/library/busybox:latest...
11 Getting image source signatures
12 Copying blob 5cc84ad355aa done  
13 Copying config beae173cca done  
14 Writing manifest to image destination
15 Storing signatures
16 STEP 2/2: ENV a 10  #  设置变量
17 COMMIT test:v0.1
18 --> f1d2184b1bd
19 Successfully tagged localhost/test:v0.1
20 f1d2184b1bd81e00bded21df5dc6195b7ceb1e5d0354ff25ee03779b95ce5a51
21 [root@localhost test]# podman run -it test:v0.1 /bin/sh
22 / # echo $a
23 10   #可以取出a等于10
 1 [root@localhost test]# podman images
 2 REPOSITORY                 TAG         IMAGE ID      CREATED        SIZE
 3 localhost/test             v0.1        f1d2184b1bd8  5 minutes ago  1.46 MB  #  这个名字是无法上传仓库的
 4 [root@localhost test]# podman tag localhost/test:v0.1 docker.io/benbugaizheyang/busybox:v0.1 # 改名字，后面名字前面要加上docker.io告诉位置。
 5 [root@localhost test]# podman images
 6 REPOSITORY                         TAG         IMAGE ID      CREATED         SIZE
 7 localhost/test                     v0.1        f1d2184b1bd8  10 minutes ago  1.46 MB
 8 docker.io/benbugaizheyang/busybox  v0.1        f1d2184b1bd8  10 minutes ago  1.46 MB
 9 [root@localhost test]# podman login docker.io  #  首先登录，要告诉它登录哪里，不然就默认登录红帽了
10 Username: benbugaizheyang
11 Password: 
12 Login Succeeded!
13 [root@localhost test]# podman push docker.io/benbugaizheyang/busybox:v0.1  #  上传镜像 ，仓库地址也要加到前面
14 //请注意，我们将四层推送到我们的注册表，现在可供其他人共享。快速浏览一下：
15 [root@localhost test]# podman inspect  docker.io/benbugaizheyang/busybox:v0.1 
16 "RepoTags": [
17             "localhost/test:v0.1",
18             "docker.io/benbugaizheyang/busybox:v0.1"

总而言之，Podman 使查找、运行、构建和共享容器变得容易。

配置别名

如果习惯了使用 Docker 命令，可以直接给 Podman 配置一个别名来实现无缝转移。你只需要在 .bashrc 下加入以下行内容即可：

 

 

[root@localhost ~]#  alias docker='podman'
[root@localhost ~]# docker images
REPOSITORY                         TAG         IMAGE ID      CREATED         SIZE
localhost/test                     v0.1        f1d2184b1bd8  26 minutes ago  1.46 MB
docker.io/benbugaizheyang/busybox  v0.1        f1d2184b1bd8  26 minutes ago  1.46 MB
docker.io/library/busybox          latest      beae173ccac6  4 months ago    1.46 MB
docker.io/library/httpd            latest      dabbfbe0c57b  4 months ago    148 MB
[root@localhost ~]# podman images
REPOSITORY                         TAG         IMAGE ID      CREATED         SIZE
localhost/test                     v0.1        f1d2184b1bd8  27 minutes ago  1.46 MB
docker.io/benbugaizheyang/busybox  v0.1        f1d2184b1bd8  27 minutes ago  1.46 MB
docker.io/library/busybox          latest      beae173ccac6  4 months ago    1.46 MB
docker.io/library/httpd            latest      dabbfbe0c57b  4 months ago    148 MB   #   设置别名以后就都是一样的了

用户操作

在允许没有root特权的用户运行Podman之前，管理员必须安装或构建Podman并完成以下配置

cgroup（控制组用于隔离） V2Linux内核功能允许用户限制普通用户容器可以使用的资源，如果使用cgroupV2启用了运行Podman的Linux发行版，则可能需要更改默认的OCI运行时。某些较旧的版本runc不适用于cgroupV2，必须切换到备用OCI运行时crun。

[root@localhost ~]# dnf list all|grep crun
crun.x86_64                                            1.0-1.module_el8.5.0+911+f19012f9                      AppStream 
[root@localhost ~]# dnf -y install crun  #  安装
[root@localhost containers]# cd /usr/share/containers/
[root@localhost containers]# ls
containers.conf  mounts.conf  seccomp.json  selinux  
[root@localhost containers]# vim containers.conf   #  修改这个文件
runtime = "crun"
#runtime = "runc"   #  用哪一个就把哪一个打开
[root@localhost ~]# podman run -d httpd  #  运行一个容器
4db216078926a521311ebe51eb355ad4f734567799b198662b0b178551acaf72   
[root@localhost ~]# podman inspect -l|grep -i runtime  #  过滤出runtime
        "OCIRuntime": "crun",    #  oci是crun了
            "--runtime",
            "Runtime": "oci",
            "CpuRealtimeRuntime": 0,

安装slirp4netns和fuse-overlayfs

在普通用户环境中使用Podman时，建议使用fuse-overlayfs（只读较多）而不是VFS虚拟文件系统，至少需要版本0.7.6。现在新版本默认就是了。

[root@localhost ~]# dnf list all|grep slir
libslirp.x86_64                                        4.4.0-1.module_el8.5.0+890+6b136101                    @AppStream
slirp4netns.x86_64                                     1.1.8-1.module_el8.5.0+890+6b136101                    @AppStream
libslirp-devel.x86_64                                  4.4.0-1.module_el8.5.0+890+6b136101                    AppStream 
[root@localhost ~]# dnf -y install slirp4netns
[root@localhost ~]# dnf -y install fuse-overlayfs
[root@localhost ~]# cd /etc/containers/
[root@localhost containers]# ls
certs.d  oci  policy.json  registries.conf  registries.conf.d  registries.d  storage.conf   #  修改storage.conf文件
[root@localhost containers]# vim storage.conf
mount_program = "/usr/bin/fuse-overlayfs"   #  取消注释

/ etc / subuid和/ etc / subgid配置

Podman要求运行它的用户在/ etc / subuid和/ etc / subgid文件中列出一系列UID,shadow-utils或newuid包提供这些文件

可以在/ etc / subuid和/ etc / subgid查看，每个用户的值必须唯一且没有任何重叠
[root@localhost ~]# cat /etc/subuid
[root@localhost ~]# cat /etc/subgid
[root@localhost ~]# useradd sym
[root@localhost ~]# cat /etc/subuid
sym:100000:65536   #  这个100000是给容器里的用户用的
[root@localhost ~]# cat /etc/subgid
sym:100000:65536
[root@localhost ~]# useradd mys  #  在创建一个用户
[root@localhost ~]# cat /etc/subuid  # 它就是165536
sym:100000:65536
mys:165536:65536
// 启动非特权ping 
[root@localhost ~]# sysctl -w "net.ipv4.ping_group_range=0 200000" //大于100000这个就表示sym可以操作podman
net.ipv4.ping_group_range = 0 200000  #  0待变管理员
[root@localhost ~]# vim /etc/sysctl.conf  # 写配置文件永久生效
net.ipv4.ping_group_range = 0 200000  #  加到最后一行
[root@localhost ~]# sysctl -p   #  让他立即生效
net.ipv4.ping_group_range = 0 200000

#  设置完以后普通用户就可以用podman了

这个文件的格式是 USERNAME:UID:RANGE中/etc/passwd或输出中列出的用户名getpwent。

  • 为用户分配的初始 UID。
  • 为用户分配的 UID 范围的大小。

该usermod程序可用于为用户分配 UID 和 GID，而不是直接更新文件。

 

[root@localhost ~]# usermod --add-subuids 200000-201000 --add-subgids 200000-201000 hh
grep hh /etc/subuid /etc/subgid
/etc/subuid:hh:200000:1001
/etc/subgid:hh:200000:1001

用户配置文件

三个主要的配置文件是container.conf（改了crun）、storage.conf（fuse-overlayfs）和registries.conf（加速器）。用户可以根据需要修改这些文件。

container.conf

 

// 用户配置文件
[root@localhost ~]# cat /usr/share/containers/containers.conf
[root@localhost ~]# cat /etc/containers/containers.conf
[root@localhost ~]# cat ~/.config/containers/containers.conf  //优先级最高

如果它们以该顺序存在。每个文件都可以覆盖特定字段的前一个文件。

配置storage.conf文件

1./etc/containers/storage.conf
2.$HOME/.config/containers/storage.conf

在普通用户中/etc/containers/storage.conf的一些字段将被忽略

[root@localhost ~]# cd /etc/containers/
[root@localhost containers]# ls
certs.d  oci  policy.json  registries.conf  registries.conf.d  registries.d  storage.conf
[root@localhost containers]# vim storage.conf 
driver = "overlay"    #此处改为overlay
.......
mount_program = "/usr/bin/fuse-overlayfs"    #取消注释
[root@localhost containers]# vim /etc/sysctl.conf
user.max_user_namespaces=15000  # 最后一行加上
[root@localhost containers]# sysctl -p   #  立即生效
net.ipv4.ping_group_range = 0 200000
user.max_user_namespaces = 15000

在普通用户中这些字段默认

graphroot="$HOME/.local/share/containers/storage"
runroot="$XDG_RUNTIME_DIR/containers

registries.conf

配置按此顺序读入,这些文件不是默认创建的,可以从/usr/share/containers或复制文件/etc/containers并进行修改。

1./etc/containers/registries.conf
2./etc/containers/registries.d/*
3.HOME/.config/containers/registries.conf   #  修改了仓库只有docker.io

授权文件

此文件里面写了docker账号的密码，以加密方式显示

 

[root@localhost ~]# podman login
Username: 1314444
Password: 
Login Succeeded!
[root@localhost ~]# cat /run/user/0/containers/auth.json 
{
        "auths": {
                "registry.fedoraproject.org": {
                        "auth": "MTMxNDQ0NDpIMjAxNy0xOA=="
                }
        }
}

普通用户是无法看见root用户的镜像的

[sym@localhost ~]$ podman images   #  普通用户看不了root的镜像
REPOSITORY  TAG         IMAGE ID    CREATED     SIZE

[sym@localhost ~]$ podman pull busybox
Resolved "busybox" as an alias (/etc/containers/registries.conf.d/000-shortnames.conf)
Trying to pull docker.io/library/busybox:latest...
Getting image source signatures
Copying blob 5cc84ad355aa done  
Copying config beae173cca done  
Writing manifest to image destination
Storing signatures
beae173ccac6ad749f76713cf4440fe3d21d1043fe616dfbe30775815d1d0f6a   # 拉一个镜像
[sym@localhost ~]$ podman images
REPOSITORY                 TAG         IMAGE ID      CREATED       SIZE
docker.io/library/busybox  latest      beae173ccac6  4 months ago  1.46 MB  #  有了
[sym@localhost ~]$ podman run -it --rm busybox /bin/sh
/ #   #   运行一个容器
[root@localhost ~]# podman ps  #  root用户也看不到普通用户的容器，每个用户都只能看到自己的
CONTAINER ID  IMAGE                           COMMAND           CREATED            STATUS                PORTS       NAMES
4db216078926  docker.io/library/httpd:latest  httpd-foreground  About an hour ago  Up About an hour ago              blissful_turing

 

卷

  • 容器与root用户一起运行，则root容器中的用户实际上就是主机上的用户。
  • UID GID是在/etc/subuid和/etc/subgid等中用户映射中指定的第一个UID GID。
  • 如果普通用户的身份从主机目录挂载到容器中，并在该目录中以根用户身份创建文件，则会看到它实际上是你的用户在主机上拥有的。

使用卷

 

[sym@localhost ~]$ podman run -it --rm busybox /bin/sh
/ # id
uid=0(root) gid=0(root) groups=10(wheel)  #  容器中root用对应的是真机上的10万，因为是sym用户做的
[root@localhost ~]# cat /etc/subuid
sym:100000:65536
mys:165536:65536
[sym@localhost ~]$ mkdir data   # 创建一个data目录
[sym@localhost ~]$ ls
data
[sym@localhost ~]$ ll
总用量 0
drwxrwxr-x. 2 sym sym 6 5月   9 23:18 data
[sym@localhost ~]$ pwd
/home/sym
[sym@localhost ~]$ podman run -it --rm -v $(pwd)/data:/data busybox /bin/sh  # 用普通用户运行一个容器，当前路径下的data跟容器里的data做一个绑定
/data # ls
abc
/data # echo 'hello world' > 123  #  容器里增加内容
/data # ls
123  abc
主机查看
sym@localhost data]$ ls
123  abc
[sym@localhost data]$ cat 123
hello world
容器里看
/data # cat 123
hello world
total 4
-rw-r--r--    1 root     root            12 May  9 15:31 123
-rw-rw-r--    1 root     root             0 May  9 15:29 abc  #  这个root就是真机上的sym用户
//我们可以发现在容器里面的文件的属主和属组都属于root，那么如何才能让其属于tom用户呢？下面告诉你答案
-rw-r--r--    1 root     root            12 May  9 15:31 123
-rw-rw-r--    1 root     root             0 May  9 15:29 abc
//只要在运行容器的时候加上一个--userns=keep-id即可
[sym@localhost ~]$ podman run -it --rm -v $(pwd)/data:/data --userns=keep-id busybox /bin/sh
~ $ id
uid=1000(sym) gid=1000(sym)

使用普通用户映射容器端口时会报“ permission denied”的错误

[sym@localhost ~]$ podman run -d --name web -p 80:80 httpd  # 端口号映射会报错，端口号80，普通用户没有权限
Error: rootlessport cannot expose privileged port 80, you can add 'net.ipv4.ip_unprivileged_port_start=80' to /etc/sysctl.conf (currently 1024), or choose a larger port number (>= 1024): listen tcp 0.0.0.0:80: bind: permission denied  #  :rootlessport不能公开特权端口号80，你可以添加'net.ipv4。Ip_unprivileged_port_start =80'到/etc/sysctl.conf(当前为1024)，或选择一个更大的端口号(>= 1024):listen TCP 0.0.0.0:80
[sym@localhost ~]$ podman run -d --name web -p 8080:80 httpd  # 可以用8080暴露，就不会报错，普通用户只能暴露1024以上的
847e04c6e38199506c579b0b5d01573eec00b8a20c285424979127e38a6285bc
[root@localhost sym]# vim /etc/sysctl.conf #或者管理员在此文件用加上
net.ipv4.ip_unprivileged_port_start=80  #  最后一行加上
[root@localhost sym]# sysctl -p   #  立即生效
net.ipv4.ping_group_range = 0 200000
user.max_user_namespaces = 15000
net.ipv4.ip_unprivileged_port_start = 80
[sym@localhost ~]$ podman run -d --name web -p 80:80 httpd
e42e779a0ac8328f3164fdfdbac2095feaf3ba45dcd7694b87b60c40bc0a510d  # 此时在启动暴露80端口号就没有报错

普通用户可以映射>= 1024的端口

[sym@localhost ~]$ podman run -d --name web -p 1024:80 httpd
fc2e1b498015c9aead22321a3a607ad4971bb3bf0d8f811ad551110f557c94d1  #  不用设置，直接暴露大于等于1024的端口号也不会报错
[sym@localhost ~]$ ss -antl
State             Recv-Q            Send-Q                       Local Address:Port                        Peer Address:Port            Process            
LISTEN            0                 128                                0.0.0.0:22                               0.0.0.0:*                                  
LISTEN            0                 128                                      *:1024                                   *:*                                  
LISTEN            0                 128                                   [::]:22                                  [::]:*

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

标签：podman,localhost,conf,docker,root,containers
来源： https://www.cnblogs.com/sunyiming023654/p/16247284.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

关于我们 | 联系我们 | 留言反馈

专注分享技术，共同学习，共同进步。侵权联系[81616952@qq.com]

Copyright (C)ICode9.com, All Rights Reserved.

ICode9版权所有