Linux Podman vs Docker 的 rootless 模式安全优势与迁移 checklist

rootless 容器更安全的关键在于 user Namespace 隔离：podman 将容器内 uid 0 映射为主机普通用户 uid，实现真正权限降级；而 docker rootless 为实验性且功能受限，依赖 root dockerd 进程存在单点风险。

rootless 容器为什么更安全？关键不在“不加 sudo”，而在命名空间隔离

Podman 的 rootless 模式不是简单地“不用 root 执行命令”，而是通过 linux user namespace 把容器内 UID 0 映射到主机上的普通用户 UID（比如 1001），真正实现权限降级。Docker 即使加了 --user，底层仍依赖 root 权限的 dockerd 进程调度，一旦该进程被攻破，整机就失守。

• 容器内 ps aux 看到的 root 进程，在宿主机上实际属于你的普通用户（id -u 输出值）
• Podman 自动启用 userns-remap 和 cgroup v2 限制，内存/CPU 不会越界抢占系统资源
• Docker 的 rootless 支持是实验性功能（需手动启用 dockerd-rootless.sh），且不兼容 build、network 等核心操作
• 常见错误现象：permission denied on /var/lib/containers —— 这是 Podman 尝试写入系统级存储路径，应改用用户目录（~/.local/share/containers）

迁移 Docker 脚本到 Podman rootless：三步绕过最痛的坑

多数人以为改个 docker 为 podman 就完事，结果在 CI 流水线里挂掉。根本问题在于：Docker 默认用 root 存储镜像，而 Podman rootless 默认只读自己的 ~/.local/share/containers，且不共享镜像层。

• 不要直接运行 podman build 后立刻 podman run —— 镜像构建成功但可能未被当前用户 registry 缓存，报错 image not known
• 显式指定存储驱动：PODMAN_ROOTLESS_STORAGE_DRIVER=overlay（尤其在 centos/RHEL 8+ 上避免 vfs 回退导致巨慢）
• CI 场景必须加 --format=docker 导出镜像：podman save -o app.tar myapp:latest，否则 podman load 在另一用户下无法识别 OCI layout
• 卷挂载要检查 SELinux 上下文：podman run -v $(pwd)/data:/app/data:Z 中的 :Z 是必须的，否则 rootless 下拒绝访问

网络与端口映射：rootless 模式下 -p 80:8080 为什么会失败？

Linux kernel 限制非特权用户绑定 1024 以下端口，这是 rootless 的硬约束，不是 Podman bug。Docker 能做到是因为 dockerd 以 root 运行并主动做端口转发；Podman rootless 则完全交由内核的 user-mode networking（slirp4netns）处理，它默认不提供端口提升能力。

• 正确做法：用 --publish 8080:8080 并让前端反代（如 nginx 监听 80，转发到 localhost:8080）
• 开发调试可临时放宽：sudo sysctl net.ipv4.ip_unprivileged_port_start=0（仅测试环境，重启失效）
• 别信 “加 sudo setcap cap_net_bind_service+ep /usr/bin/slirp4netns” —— 这会破坏 rootless 安全模型，且新版 slirp4netns 已移除对该能力的支持
• 错误现象：Error: rootless port forwarding requires slirp4netns >= 1.2.0 → 升级 slirp4netns 包，而非降级 Podman

systemd 集成时最容易漏掉的配置项

用 podman generate systemd --new --name myapp 生成服务文件看似省事，但 rootless 模式下若没设对 User= 和 Environment=，服务会静默失败或退回到 root 模式。

• 必须手动修改生成的服务文件，在 [Service] 段添加：User=yourusername 和 Environment=HOME=/home/yourusername
• 不能依赖 podman system service —— 它是为 rootful 设计的 daemon 替代品，rootless 下启动即报 cannot listen on socket
• RestartSec=5 要配合 StartLimitIntervalSec=0，否则 systemd 会因快速失败触发启动抑制
• 镜像拉取失败时，日志里只会显示 failed to resolve reference，真实原因是 rootless 用户无法访问 /etc/containers/registries.conf，得复制一份到 ~/.config/containers/registries.conf

真正难的不是命令替换，而是把“容器属于系统”这个隐含假设，扭转为“容器属于用户”。所有路径、网络、存储、日志，默认都不再共享，也不再自动继承 root 权限。这点一旦忽略，排查会卡在权限、路径、上下文三个维度交叉的盲区里。