Podman: различия между версиями

Текущая версия от 06:38, 28 декабря 2024

Инструкция по установке

Установка

Установить podman можно следующей командой:

# apt-get install podman

Rootless режим

Для использования podman непривилегированными пользователями, необходимо произвести ряд дополнительных действий по настройке прав:

Проверить наличие разрешения на создание пользовательских пространств имён:
```
# sysctl kernel.unprivileged_userns_clone
```
Если отсутствует, то разрешаем (устанавливаем пакет с необходимой конфигурацией)
```
# apt-get install sysctl-conf-userns
```
Предоставить права на запуск исполняемых файлов /usr/bin/newuidmap и /usr/bin/newgidmap пользователям, не являющимся владельцами файла и не принадлежащим к группе владельца файла:
```
# control newgidmap public
# control newuidmap public
```
Поскольку эти исполняемые файлы обращаются к системным вызовам setuid() и setgid(), чтобы лишний раз не выдавать SUID бит, задайте этим файлам соответствующие file capabilities:
```
# setcap cap_setuid+ep /usr/bin/newuidmap
# setcap cap_setgid+ep /usr/bin/newgidmap
```

Этих действий достаточно для запуска podman непривилегированными пользователями.

Примечание:

Чтобы podman могли запускать непривилегированные пользователи, для каждого такого пользователя должна существовать запись конфигурации subuid и subgid. Новые пользователи, созданные после установки podman, имеют эти записи по умолчанию.

Для пользователей, у которых нет записей в /etc/subuid и /etc/subgid, можно создать запись с помощью команды usermod, например:

# usermod --add-subuids 100000-165535 --add-subgids 100000-165535 имя_пользователя

Данная команда выделяет заданный диапазон UID и GID пользователю, что позволит пользователю и группе с именем пользователя запускать контейнеры Podman.

В случае попытки добавить доменного пользователя, имя пользователя вносится в /etc/subuid и /etc/subgid вручную.

Указанный выше диапазон UID и GID уже может быть занят другим пользователем, т.к. это диапазон по умолчанию для первого пользователя. Просмотреть занятые диапазоны можно в файлах /etc/subuid и /etc/subgid, например:

# cat /etc/subuid 
user:100000:65536
user2:165536:65536

Многим образам требуется 65536 uid/gid для сопоставления. Рекомендуется выделять как минимум столько uid/gid для каждого пользователя.

Для применения изменений в subuid и subgid необходимо выполнить команду:

$ podman system migrate

Запуск образов

Podman предоставляет совместимый с Docker интерфейс CLI, а следовательно допустимо настроить при необходимости alias docker=podman:

# echo "alias docker=podman" >> ~/.bashrc

Загрузка образа из репозитория:

# podman pull registry.altlinux.org/alt/alt

Запуск контейнера из образа:

# podman run -it --name alt registry.altlinux.org/alt/alt

Ссылки

Документация
Настройка rootless в Podman
Репозиторий образов ALT

Виртуализация

Cloud-init • Docker • Docker Reminder • Incus • Kubernetes • Kubernetes old cri-o • Libvirt (Qemu+KVM+Virt-manager) • LXC • LXD • NextCloud в контейнере • OpenNebula • OpenNebula/Создание образа • Openstack • OpenVZ • OpenVZ7 • Podman • Puppet/Запуск puppetry (пример с libvirt) • PVE • PVE start • PVE/Backup Server • Qemu-user-binfmt misc • Registry • Starterkits/openstack • Starterkits/p7 • Starterkits/p8 • Trivy • VDI • VDI/OpenUDS • VDI/Ravada • VirtualBox • VirtualBox/Quick • Участник:Petr-akhlamov/VirtualboxLAN • Vmware • Запуск VMware-Player • Контейнеры systemd-nspawn • Настройка сети в KVM • OpenNebula/Подготовка образов • Установка VMware-Workstation • Категория:OpenVZ • Категория:Xen

@@ Строка 3: / Строка 3: @@
 == Установка ==
 Установить {{pkg|podman}} можно следующей командой:
-<syntaxhighlight lang="bash"># apt-get install podman</syntaxhighlight>
+<syntaxhighlight lang="console"># apt-get install podman</syntaxhighlight>
 == Rootless режим ==
 Для использования podman непривилегированными пользователями, необходимо произвести ряд дополнительных действий по настройке прав:
 # Проверить наличие разрешения на создание пользовательских пространств имён:
-#: <syntaxhighlight lang="bash"># sysctl kernel.unprivileged_userns_clone</syntaxhighlight>
+#: <syntaxhighlight lang="console"># sysctl kernel.unprivileged_userns_clone</syntaxhighlight>
-# Если отсутствует, то разрешаем
+# Если отсутствует, то разрешаем (устанавливаем пакет с необходимой конфигурацией)
-#: <syntaxhighlight lang="bash"># sysctl kernel.unprivileged_userns_clone=1
+#: <syntaxhighlight lang="console"># apt-get install sysctl-conf-userns</syntaxhighlight>
-# echo 'kernel.unprivileged_userns_clone=1' >> /etc/sysctl.d/42-podman.conf</syntaxhighlight>
 # Предоставить права на запуск исполняемых файлов {{path|/usr/bin/newuidmap}} и {{path|/usr/bin/newgidmap}} пользователям, не являющимся владельцами файла и не принадлежащим к группе владельца файла:
-#: <syntaxhighlight lang="bash"># control newgidmap public
+#: <syntaxhighlight lang="console"># control newgidmap public
-# control newuidmap public</syntaxhighlight> или
+# control newuidmap public</syntaxhighlight>
-#: <syntaxhighlight lang="bash"># chmod o+x /usr/bin/newuidmap
-# chmod o+x /usr/bin/newgidmap</syntaxhighlight>
 # Поскольку эти исполняемые файлы обращаются к системным вызовам setuid() и setgid(), чтобы лишний раз не выдавать SUID бит, задайте этим файлам соответствующие file capabilities:
-#:<syntaxhighlight lang="bash"># setcap cap_setuid+ep /usr/bin/newuidmap
+#:<syntaxhighlight lang="console"># setcap cap_setuid+ep /usr/bin/newuidmap
 # setcap cap_setgid+ep /usr/bin/newgidmap</syntaxhighlight>
@@ Строка 27: / Строка 24: @@
 Для пользователей, у которых нет записей в {{path|/etc/subuid}} и {{path|/etc/subgid}}, можно создать запись с помощью команды {{cmd|usermod}}, например:
-<syntaxhighlight lang="bash"># usermod --add-subuids 100000-165535 --add-subgids 100000-165535 имя_пользователя</syntaxhighlight>
+<syntaxhighlight lang="console"># usermod --add-subuids 100000-165535 --add-subgids 100000-165535 имя_пользователя</syntaxhighlight>
 Данная команда выделяет заданный диапазон UID и GID пользователю, что позволит пользователю и группе с именем пользователя запускать контейнеры Podman.
 <blockquote>В случае попытки добавить доменного пользователя, имя пользователя вносится в {{path|/etc/subuid}} и {{path|/etc/subgid}} вручную.</blockquote>
 Указанный выше диапазон UID и GID уже может быть занят другим пользователем, т.к. это диапазон по умолчанию для  первого пользователя. Просмотреть занятые диапазоны можно в файлах {{path|/etc/subuid}} и {{path|/etc/subgid}}, например:
-<syntaxhighlight lang="bash"># cat /etc/subuid
+<syntaxhighlight lang="console"># cat /etc/subuid
 user:100000:65536
 user2:165536:65536</syntaxhighlight>
@@ Строка 38: / Строка 35: @@
 Для применения изменений в subuid и subgid необходимо выполнить команду:
-<syntaxhighlight lang="bash">$ podman system migrate</syntaxhighlight>
+<syntaxhighlight lang="console">$ podman system migrate</syntaxhighlight>
 }}
 == Запуск образов ==
 Podman предоставляет совместимый с Docker интерфейс CLI, а следовательно допустимо настроить при необходимости alias docker=podman:
-<syntaxhighlight lang="bash"># echo "alias docker=podman" >> ~/.bashrc</syntaxhighlight>
+<syntaxhighlight lang="console"># echo "alias docker=podman" >> ~/.bashrc</syntaxhighlight>
 Загрузка образа из репозитория:
-<syntaxhighlight lang="bash"># podman pull registry.altlinux.org/alt/alt</syntaxhighlight>
+<syntaxhighlight lang="console"># podman pull registry.altlinux.org/alt/alt</syntaxhighlight>
 Запуск контейнера из образа:
-<syntaxhighlight lang="bash"># podman run -it --name alt registry.altlinux.org/alt/alt</syntaxhighlight>
+<syntaxhighlight lang="console"># podman run -it --name alt registry.altlinux.org/alt/alt</syntaxhighlight>
 == Ссылки ==