podman
作者：互联网
什么是Podman？
Podman 是一个开源的容器运行时项目，可在大多数 Linux 平台上使用。Podman 提供与 Docker 非常相似的功能。正如前面提到的那样，它不需要在你的系统上运行任何守护进程，并且它也可以在没有 root 权限的情况下运行。
Podman 可以管理和运行任何符合 OCI（Open Container Initiative）规范的容器和容器镜像。Podman 提供了一个与 Docker 兼容的命令行前端来管理 Docker 镜像。
Podman 官网地址：https://podman.io/
Podman和Docker的主要区别是什么？
- dockers在实现CRI的时候，它需要一个守护进程，其次需要以root运行，因此这也带来了安全隐患。
- podman不需要守护程序，也不需要root用户运行，从逻辑架构上，比docker更加合理。
- 在docker的运行体系中，需要多个daemon才能调用到OCI的实现RunC。
- 在容器管理的链路中，Docker Engine的实现就是dockerd
- daemon，它在linux中需要以root运行，dockerd调用containerd，containerd调用containerd-shim，然后才能调用runC。顾名思义shim起的作用也就是“垫片”，避免父进程退出影响容器的运行
- podman直接调用OCI,runtime（runC），通过common作为容器进程的管理工具，但不需要dockerd这种以root身份运行的守护进程。
- 在podman体系中，有个称之为common的守护进程，其运行路径通常是/usr/libexec/podman/conmon，它是各个容器进程的父进程，每个容器各有一个，common的父则通常是1号进程。podman中的common其实相当于docker体系中的containerd-shim。
图中所体现的事情是，podman不需要守护进程，而dorker需要守护进程。在这个图的示意中，dorcker的containerd-shim与podman的common被归在Container一层。
Podman的使用与docker有什么区别？
podman的定位也是与docker兼容，因此在使用上面尽量靠近docker。在使用方面，可以分成两个方面来说，一是系统构建者的角度，二是使用者的角度。
在系统构建者方面，用podman的默认软件，与docker的区别不大，只是在进程模型、进程关系方面有所区别。如果习惯了docker几个关联进程的调试方法，在podman中则需要适应。可以通过pstree命令查看进程的树状结构。总体来看，podman比docker要简单。由于podman比docker少了一层daemon，因此重启的机制也就不同了。
在使用者方面，podman与docker的命令基本兼容，都包括容器运行时（run/start/kill/ps/inspect），本地镜像（images/rmi/build）、镜像仓库（login/pull/push）等几个方面。因此podman的命令行工具与docker类似，比如构建镜像、启停容器等。甚至可以通过alias
docker=podman可以进行替换。因此，即便使用了podman，仍然可以使用http://docker.io作为镜像仓库，这也是兼容性最关键的部分。
Podman常用命令
容器 2 3 podman run 创建并启动容器 4 podman start 启动容器 5 podman ps 查看容器 6 podman stop 终止容器 7 podman restart 重启容器 8 podman attach 进入容器 9 podman exec 进入容器 10 podman export 导出容器 11 podman import 导入容器快照 12 podman rm 删除容器 13 podman logs 查看日志 镜像 16 podman search 检索镜像 17 podman pull 获取镜像 18 podman images 列出镜像 19 podman image Is 列出镜像 20 podman rmi 删除镜像 21 podman image rm 删除镜像 22 podman save 导出镜像 23 podman load 导入镜像 24 podmanfile 定制镜像（三个） 25 podman build 构建镜像 26 podman run 运行镜像 27 podmanfile 常用指令（四个） 28 COPY 复制文件 29 ADD 高级复制 30 CMD 容器启动命令 31 ENV 环境变量 32 EXPOSE 暴露端口
33 FROM 镜像来之
部署 Podman
[root@localhost ~]# cd /etc/yum.repos.d/ [root@localhost yum.repos.d]# ls CentOS-Stream-AppStream.repo CentOS-Stream-Extras.repo CentOS-Stream-NFV.repo CentOS-Stream-ResilientStorage.repo CentOS-Stream-BaseOS.repo CentOS-Stream-HighAvailability.repo CentOS-Stream-PowerTools.repo CentOS-Stream-Sources.repo CentOS-Stream-Debuginfo.repo CentOS-Stream-Media.repo CentOS-Stream-RealTime.repo [root@localhost yum.repos.d]# rm -rf * # 删除掉 [root@localhost yum.repos.d]# ls [root@localhost yum.repos.d]# curl -o /etc/yum.repos.d/CentOS-Base.repo https://mirrors.aliyun.com/repo/Centos-vault-8.5.2111.repo [root@localhost yum.repos.d]# ls # 换成国内的源 CentOS-Base.repo [root@localhost yum.repos.d]# sed -i -e '/mirrors.cloud.aliyuncs.com/d' -e '/mirrors.aliyuncs.com/d' /etc/yum.repos.d/CentOS-Base.repo # 相关的东西删掉 [root@localhost yum.repos.d]# dnf clean all 21 文件已删除 //安装podman docker和podman不能同时存在 [root@localhost ~]# yum -y install podman [root@localhost ~]# podman ps # 查看容器 CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES [root@localhost ~]# podman images # 查看镜像 REPOSITORY TAG IMAGE ID CREATED SIZE
Podman 加速器
版本8配置加速器 [root@localhost ~]# podman info # 查看有没有配加速器 registries: # 收索的位子，没有加速器 search: - registry.fedoraproject.org - registry.access.redhat.com - registry.centos.org - docker.io [root@localhost ~]# cd /etc/containers/ # 配置加速器的位子 [root@localhost containers]# ls certs.d oci policy.json registries.conf registries.conf.d registries.d storage.conf [root@localhost containers]# vim registries.conf #unqualified-search-registries = ["registry.fedoraproject.org", "registry.access.redhat.com", "registry.centos.org", "docker.io"] unqualified-search-registries = ["docker.io"] # 复制上一条，把上一条注释掉，然后删除前3个保留最后一个，运行容器就不用选择了 [[registry]] # 配置加速器 prefix = "docker.io" location = "j3m2itm3.mirror.aliyuncs.com" #（不用加https:// 直接加地址）
使用 Podman
使用 Podman 非常的简单，Podman 的指令跟 Docker 大多数都是相同的。下面我们来看几个常用的例子：
运行一个容器
[root@localhost containers]# podman info registries: # 修改以后再来查看就有了 docker.io: Blocked: false Insecure: false Location: j3m2itm3.mirror.aliyuncs.com MirrorByDigestOnly: false Mirrors: null Prefix: docker.io [root@localhost containers]# podman run -d --name web -p 8080:80 httpd # 启动容器 Resolving "httpd" using unqualified-search registries (/etc/containers/registries.conf) Trying to pull docker.io/library/httpd:latest... Getting image source signatures Copying blob 67283bbdd4a0 done Copying blob dcc4698797c8 done Copying blob d982c879c57e done Copying blob 41c22baa66ec done Copying blob a2abf6c4d29d done Copying config dabbfbe0c5 done Writing manifest to image destination Storing signatures 8b218d5278480345fbcb47592cbff1a3d0bbf63b6a67f747795b7df9862c6e35 [root@localhost containers]# podman ps # 查看容器 CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES 8b218d527848 docker.io/library/httpd:latest httpd-foreground 2 minutes ago Up 2 minutes ago 0.0.0.0:8080->80/tcp web [root@localhost containers]# podman images # 查看镜像 REPOSITORY TAG IMAGE ID CREATED SIZE docker.io/library/httpd latest dabbfbe0c57b 4 months ago 148 MB
列出运行的容器
1 [root@localhost ~]# podman ps 2 CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES 3 8b218d527848 docker.io/library/httpd:latest httpd-foreground 28 minutes ago Up 28 minutes ago 0.0.0.0:8080->80/tcp web 4 1440b4f202c1 docker.io/library/httpd:latest httpd-foreground 44 seconds ago Up 44 seconds ago angry_booth 5 df6338b66702 docker.io/library/httpd:latest httpd-foreground 41 seconds ago Up 41 seconds ago focused_goldstine 6 86e1be07283a docker.io/library/httpd:latest httpd-foreground 40 seconds ago Up 40 seconds ago
注意：如果在ps命令中添加-a，Podman 将显示所有容器。
检查正在运行的容器
您可以“检查”正在运行的容器的元数据和有关其自身的详细信息。我们甚至可以使用 inspect 子命令查看分配给容器的 IP 地址。由于容器以无根模式运行，因此未分配 IP 地址，并且该值将在检查的输出中列为“无”。
1 [root@localhost ~]# podman inspect -l | grep -i ipaddr 2 "IPAddress": "10.88.0.5", 3 "IPAddress": "10.88.0.5", 4 [root@localhost ~]# curl 10.88.0.5 5 <html><body><h1>It works!</h1></body></html>
注意：-l 是最新容器的便利参数。您还可以使用容器的 ID 代替 -l。
查看一个运行中容器的日志
选项 -l #最近的
[root@localhost ~]# podman logs -l
AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 10.88.0.5. Set the 'ServerName' directive globally to suppress this message
AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 10.88.0.5. Set the 'ServerName' directive globally to suppress this message
[Mon May 09 11:10:03.315932 2022] [mpm_event:notice] [pid 1:tid 140352305364288] AH00489: Apache/2.4.52 (Unix) configured -- resuming normal operations
[Mon May 09 11:10:03.316951 2022] [core:notice] [pid 1:tid 140352305364288] AH00094: Command line: 'httpd -D FOREGROUND'
10.88.0.1 - - [09/May/2022:11:18:13 +0000] "GET / HTTP/1.1" 400 226
10.88.0.1 - - [09/May/2022:11:18:18 +0000] "GET / HTTP/1.1" 200 45
查看一个运行容器中的进程资源使用情况
语法： podman top <container_id>
[root@localhost ~]# podman run -d httpd
852767541fbed939df7d22419a0a42201ccff82c82afaf31f1e753f7cdda8f15
[root@localhost ~]# podman top -l
USER PID PPID %CPU ELAPSED TTY TIME COMMAND
root 1 0 0.000 30.641865689s ? 0s httpd -DFOREGROUND
www-data 9 1 0.000 30.642133621s ? 0s httpd -DFOREGROUND
www-data 10 1 0.000 30.642247531s ? 0s httpd -DFOREGROUND
www-data 11 1 0.000 30.642379846s ? 0s httpd -DFOREGROUND
停止一个运行中的容器
[root@localhost ~]# podman stop -l
852767541fbed939df7d22419a0a42201ccff82c82afaf31f1e753f7cdda8f15
[root@localhost ~]# podman ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
[root@localhost ~]# podman ps -a
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
852767541fbe docker.io/library/httpd:latest httpd-foreground 10 minutes ago Exited (0) 13 seconds ago infallible_feistel
删除一个容器
1 [root@localhost ~]# podman rm -f -l 2 86e1be07283a49eb09e7ffdc986dbccf210fa334bd9c9d5030b6b503aa2b5ef2 3 [root@localhost ~]# podman ps 4 CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
以上这些特性基本上都和 Docker 一样，Podman 除了兼容这些特性外，还支持了一些新的特性。
上传镜像
1 [root@localhost ~]# mkdir test 2 [root@localhost ~]# cd test/ 3 [root@localhost test]# vim Podmanfile 4 FROM busybox 5 6 ENV a 10 # 保存 7 [root@localhost test]# podman build -f Podmanfile -t test:v0.1 . # 制作镜像，加-f可以换成别的文件名 8 STEP 1/2: FROM busybox 9 Resolved "busybox" as an alias (/etc/containers/registries.conf.d/000-shortnames.conf) 10 Trying to pull docker.io/library/busybox:latest... 11 Getting image source signatures 12 Copying blob 5cc84ad355aa done 13 Copying config beae173cca done 14 Writing manifest to image destination 15 Storing signatures 16 STEP 2/2: ENV a 10 # 设置变量 17 COMMIT test:v0.1 18 --> f1d2184b1bd 19 Successfully tagged localhost/test:v0.1 20 f1d2184b1bd81e00bded21df5dc6195b7ceb1e5d0354ff25ee03779b95ce5a51 21 [root@localhost test]# podman run -it test:v0.1 /bin/sh 22 / # echo $a 23 10 #可以取出a等于10
1 [root@localhost test]# podman images 2 REPOSITORY TAG IMAGE ID CREATED SIZE 3 localhost/test v0.1 f1d2184b1bd8 5 minutes ago 1.46 MB # 这个名字是无法上传仓库的 4 [root@localhost test]# podman tag localhost/test:v0.1 docker.io/benbugaizheyang/busybox:v0.1 # 改名字，后面名字前面要加上docker.io告诉位置。 5 [root@localhost test]# podman images 6 REPOSITORY TAG IMAGE ID CREATED SIZE 7 localhost/test v0.1 f1d2184b1bd8 10 minutes ago 1.46 MB 8 docker.io/benbugaizheyang/busybox v0.1 f1d2184b1bd8 10 minutes ago 1.46 MB 9 [root@localhost test]# podman login docker.io # 首先登录，要告诉它登录哪里，不然就默认登录红帽了 10 Username: benbugaizheyang 11 Password: 12 Login Succeeded! 13 [root@localhost test]# podman push docker.io/benbugaizheyang/busybox:v0.1 # 上传镜像 ，仓库地址也要加到前面 14 //请注意，我们将四层推送到我们的注册表，现在可供其他人共享。快速浏览一下： 15 [root@localhost test]# podman inspect docker.io/benbugaizheyang/busybox:v0.1 16 "RepoTags": [ 17 "localhost/test:v0.1", 18 "docker.io/benbugaizheyang/busybox:v0.1"
总而言之，Podman 使查找、运行、构建和共享容器变得容易。
配置别名
如果习惯了使用 Docker 命令，可以直接给 Podman 配置一个别名来实现无缝转移。你只需要在 .bashrc 下加入以下行内容即可：
[root@localhost ~]# alias docker='podman' [root@localhost ~]# docker images REPOSITORY TAG IMAGE ID CREATED SIZE localhost/test v0.1 f1d2184b1bd8 26 minutes ago 1.46 MB docker.io/benbugaizheyang/busybox v0.1 f1d2184b1bd8 26 minutes ago 1.46 MB docker.io/library/busybox latest beae173ccac6 4 months ago 1.46 MB docker.io/library/httpd latest dabbfbe0c57b 4 months ago 148 MB [root@localhost ~]# podman images REPOSITORY TAG IMAGE ID CREATED SIZE localhost/test v0.1 f1d2184b1bd8 27 minutes ago 1.46 MB docker.io/benbugaizheyang/busybox v0.1 f1d2184b1bd8 27 minutes ago 1.46 MB docker.io/library/busybox latest beae173ccac6 4 months ago 1.46 MB docker.io/library/httpd latest dabbfbe0c57b 4 months ago 148 MB # 设置别名以后就都是一样的了
用户操作
在允许没有root特权的用户运行Podman之前，管理员必须安装或构建Podman并完成以下配置
cgroup（控制组用于隔离） V2Linux内核功能允许用户限制普通用户容器可以使用的资源，如果使用cgroupV2启用了运行Podman的Linux发行版，则可能需要更改默认的OCI运行时。某些较旧的版本runc不适用于cgroupV2，必须切换到备用OCI运行时crun。
[root@localhost ~]# dnf list all|grep crun
crun.x86_64 1.0-1.module_el8.5.0+911+f19012f9 AppStream
[root@localhost ~]# dnf -y install crun # 安装
[root@localhost containers]# cd /usr/share/containers/
[root@localhost containers]# ls
containers.conf mounts.conf seccomp.json selinux
[root@localhost containers]# vim containers.conf # 修改这个文件
runtime = "crun"
#runtime = "runc" # 用哪一个就把哪一个打开
[root@localhost ~]# podman run -d httpd # 运行一个容器
4db216078926a521311ebe51eb355ad4f734567799b198662b0b178551acaf72
[root@localhost ~]# podman inspect -l|grep -i runtime # 过滤出runtime
"OCIRuntime": "crun", # oci是crun了
"--runtime",
"Runtime": "oci",
"CpuRealtimeRuntime": 0,
安装slirp4netns和fuse-overlayfs
在普通用户环境中使用Podman时，建议使用fuse-overlayfs（只读较多）而不是VFS虚拟文件系统，至少需要版本0.7.6。现在新版本默认就是了。
[root@localhost ~]# dnf list all|grep slir libslirp.x86_64 4.4.0-1.module_el8.5.0+890+6b136101 @AppStream slirp4netns.x86_64 1.1.8-1.module_el8.5.0+890+6b136101 @AppStream libslirp-devel.x86_64 4.4.0-1.module_el8.5.0+890+6b136101 AppStream [root@localhost ~]# dnf -y install slirp4netns [root@localhost ~]# dnf -y install fuse-overlayfs [root@localhost ~]# cd /etc/containers/ [root@localhost containers]# ls certs.d oci policy.json registries.conf registries.conf.d registries.d storage.conf # 修改storage.conf文件 [root@localhost containers]# vim storage.conf mount_program = "/usr/bin/fuse-overlayfs" # 取消注释
/ etc / subuid和/ etc / subgid配置
Podman要求运行它的用户在/ etc / subuid和/ etc / subgid文件中列出一系列UID,shadow-utils或newuid包提供这些文件
可以在/ etc / subuid和/ etc / subgid查看，每个用户的值必须唯一且没有任何重叠 [root@localhost ~]# cat /etc/subuid [root@localhost ~]# cat /etc/subgid [root@localhost ~]# useradd sym [root@localhost ~]# cat /etc/subuid sym:100000:65536 # 这个100000是给容器里的用户用的 [root@localhost ~]# cat /etc/subgid sym:100000:65536 [root@localhost ~]# useradd mys # 在创建一个用户 [root@localhost ~]# cat /etc/subuid # 它就是165536 sym:100000:65536 mys:165536:65536 // 启动非特权ping [root@localhost ~]# sysctl -w "net.ipv4.ping_group_range=0 200000" //大于100000这个就表示sym可以操作podman net.ipv4.ping_group_range = 0 200000 # 0待变管理员 [root@localhost ~]# vim /etc/sysctl.conf # 写配置文件永久生效 net.ipv4.ping_group_range = 0 200000 # 加到最后一行 [root@localhost ~]# sysctl -p # 让他立即生效 net.ipv4.ping_group_range = 0 200000 # 设置完以后普通用户就可以用podman了
这个文件的格式是 USERNAME:UID:RANGE中/etc/passwd或输出中列出的用户名getpwent。
- 为用户分配的初始 UID。
- 为用户分配的 UID 范围的大小。
该usermod程序可用于为用户分配 UID 和 GID，而不是直接更新文件。
[root@localhost ~]# usermod --add-subuids 200000-201000 --add-subgids 200000-201000 hh grep hh /etc/subuid /etc/subgid /etc/subuid:hh:200000:1001 /etc/subgid:hh:200000:1001
用户配置文件
三个主要的配置文件是container.conf（改了crun）、storage.conf（fuse-overlayfs）和registries.conf（加速器）。用户可以根据需要修改这些文件。
container.conf
// 用户配置文件 [root@localhost ~]# cat /usr/share/containers/containers.conf [root@localhost ~]# cat /etc/containers/containers.conf [root@localhost ~]# cat ~/.config/containers/containers.conf //优先级最高
如果它们以该顺序存在。每个文件都可以覆盖特定字段的前一个文件。
配置storage.conf文件
1./etc/containers/storage.conf 2.$HOME/.config/containers/storage.conf
在普通用户中/etc/containers/storage.conf的一些字段将被忽略
[root@localhost ~]# cd /etc/containers/ [root@localhost containers]# ls certs.d oci policy.json registries.conf registries.conf.d registries.d storage.conf [root@localhost containers]# vim storage.conf driver = "overlay" #此处改为overlay ....... mount_program = "/usr/bin/fuse-overlayfs" #取消注释 [root@localhost containers]# vim /etc/sysctl.conf user.max_user_namespaces=15000 # 最后一行加上 [root@localhost containers]# sysctl -p # 立即生效 net.ipv4.ping_group_range = 0 200000 user.max_user_namespaces = 15000
在普通用户中这些字段默认
graphroot="$HOME/.local/share/containers/storage" runroot="$XDG_RUNTIME_DIR/containers
registries.conf
配置按此顺序读入,这些文件不是默认创建的,可以从/usr/share/containers或复制文件/etc/containers并进行修改。
1./etc/containers/registries.conf 2./etc/containers/registries.d/* 3.HOME/.config/containers/registries.conf # 修改了仓库只有docker.io
授权文件
此文件里面写了docker账号的密码，以加密方式显示
[root@localhost ~]# podman login
Username: 1314444
Password:
Login Succeeded!
[root@localhost ~]# cat /run/user/0/containers/auth.json
{
"auths": {
"registry.fedoraproject.org": {
"auth": "MTMxNDQ0NDpIMjAxNy0xOA=="
}
}
}
普通用户是无法看见root用户的镜像的
[sym@localhost ~]$ podman images # 普通用户看不了root的镜像 REPOSITORY TAG IMAGE ID CREATED SIZE [sym@localhost ~]$ podman pull busybox Resolved "busybox" as an alias (/etc/containers/registries.conf.d/000-shortnames.conf) Trying to pull docker.io/library/busybox:latest... Getting image source signatures Copying blob 5cc84ad355aa done Copying config beae173cca done Writing manifest to image destination Storing signatures beae173ccac6ad749f76713cf4440fe3d21d1043fe616dfbe30775815d1d0f6a # 拉一个镜像 [sym@localhost ~]$ podman images REPOSITORY TAG IMAGE ID CREATED SIZE docker.io/library/busybox latest beae173ccac6 4 months ago 1.46 MB # 有了 [sym@localhost ~]$ podman run -it --rm busybox /bin/sh / # # 运行一个容器 [root@localhost ~]# podman ps # root用户也看不到普通用户的容器，每个用户都只能看到自己的 CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES 4db216078926 docker.io/library/httpd:latest httpd-foreground About an hour ago Up About an hour ago blissful_turing
卷
- 容器与root用户一起运行，则root容器中的用户实际上就是主机上的用户。
- UID GID是在/etc/subuid和/etc/subgid等中用户映射中指定的第一个UID GID。
- 如果普通用户的身份从主机目录挂载到容器中，并在该目录中以根用户身份创建文件，则会看到它实际上是你的用户在主机上拥有的。
使用卷
[sym@localhost ~]$ podman run -it --rm busybox /bin/sh / # id uid=0(root) gid=0(root) groups=10(wheel) # 容器中root用对应的是真机上的10万，因为是sym用户做的 [root@localhost ~]# cat /etc/subuid sym:100000:65536 mys:165536:65536 [sym@localhost ~]$ mkdir data # 创建一个data目录 [sym@localhost ~]$ ls data [sym@localhost ~]$ ll 总用量 0 drwxrwxr-x. 2 sym sym 6 5月 9 23:18 data [sym@localhost ~]$ pwd /home/sym [sym@localhost ~]$ podman run -it --rm -v $(pwd)/data:/data busybox /bin/sh # 用普通用户运行一个容器，当前路径下的data跟容器里的data做一个绑定 /data # ls abc /data # echo 'hello world' > 123 # 容器里增加内容 /data # ls 123 abc 主机查看 sym@localhost data]$ ls 123 abc [sym@localhost data]$ cat 123 hello world 容器里看 /data # cat 123 hello world total 4 -rw-r--r-- 1 root root 12 May 9 15:31 123 -rw-rw-r-- 1 root root 0 May 9 15:29 abc # 这个root就是真机上的sym用户 //我们可以发现在容器里面的文件的属主和属组都属于root，那么如何才能让其属于tom用户呢？下面告诉你答案 -rw-r--r-- 1 root root 12 May 9 15:31 123 -rw-rw-r-- 1 root root 0 May 9 15:29 abc //只要在运行容器的时候加上一个--userns=keep-id即可 [sym@localhost ~]$ podman run -it --rm -v $(pwd)/data:/data --userns=keep-id busybox /bin/sh ~ $ id uid=1000(sym) gid=1000(sym)
使用普通用户映射容器端口时会报“ permission denied”的错误
[sym@localhost ~]$ podman run -d --name web -p 80:80 httpd # 端口号映射会报错，端口号80，普通用户没有权限 Error: rootlessport cannot expose privileged port 80, you can add 'net.ipv4.ip_unprivileged_port_start=80' to /etc/sysctl.conf (currently 1024), or choose a larger port number (>= 1024): listen tcp 0.0.0.0:80: bind: permission denied # :rootlessport不能公开特权端口号80，你可以添加'net.ipv4。Ip_unprivileged_port_start =80'到/etc/sysctl.conf(当前为1024)，或选择一个更大的端口号(>= 1024):listen TCP 0.0.0.0:80 [sym@localhost ~]$ podman run -d --name web -p 8080:80 httpd # 可以用8080暴露，就不会报错，普通用户只能暴露1024以上的 847e04c6e38199506c579b0b5d01573eec00b8a20c285424979127e38a6285bc [root@localhost sym]# vim /etc/sysctl.conf #或者管理员在此文件用加上 net.ipv4.ip_unprivileged_port_start=80 # 最后一行加上 [root@localhost sym]# sysctl -p # 立即生效 net.ipv4.ping_group_range = 0 200000 user.max_user_namespaces = 15000 net.ipv4.ip_unprivileged_port_start = 80 [sym@localhost ~]$ podman run -d --name web -p 80:80 httpd e42e779a0ac8328f3164fdfdbac2095feaf3ba45dcd7694b87b60c40bc0a510d # 此时在启动暴露80端口号就没有报错
普通用户可以映射>= 1024的端口
[sym@localhost ~]$ podman run -d --name web -p 1024:80 httpd fc2e1b498015c9aead22321a3a607ad4971bb3bf0d8f811ad551110f557c94d1 # 不用设置，直接暴露大于等于1024的端口号也不会报错 [sym@localhost ~]$ ss -antl State Recv-Q Send-Q Local Address:Port Peer Address:Port Process LISTEN 0 128 0.0.0.0:22 0.0.0.0:* LISTEN 0 128 *:1024 *:* LISTEN 0 128 [::]:22 [::]:*
标签：podman,localhost,conf,docker,root,containers 来源： https://www.cnblogs.com/sunyiming023654/p/16247284.html