Podman 容器化技术：从入门到实战完全指南

传统 Docker（独立容器）：
  [Container A] ←→ bridge0
  [Container B] ←→ bridge0   ← 各自独立 IP，通信需端口映射

Podman Pod（容器组）：
  [Container A] ─┐
                  ├─→ 共享同一个网络命名空间（同一个 IP！）
  [Container B] ─┘   像 K8s Pod 一样，localhost 直连

bash# 检查是否已安装
podman --version

# 未安装则一键安装
sudo dnf install -y podman

# 安装辅助工具（强烈推荐！）
sudo dnf install -y podman-docker  # 提供 docker 命令别名
sudo dnf install -y podman-compose # 提供 docker-compose 别名
sudo dnf install -y containers-common  # 镜像仓库配置

bashsudo apt update
sudo apt install -y podman

# 同样安装兼容层
sudo apt install -y podman-docker

bash# macOS
brew install podman
podman machine init
podman machine start

# Windows（需 WSL2）
wsl --install
wsl podman machine init
wsl podman machine start

bash# 查看版本（带详细信息）
podman version

# 测试运行第一个容器
podman run --rm hello-world

# 查看所有容器（包括已停止的）
podman ps -a

bash# 1. 切换到普通用户（不要用 root！）
su - myuser

# 2. 直接运行（无需任何 sudo）
podman run -d --name mynginx -p 8080:80 nginx

# 3. 验证：容器内的 root 实际是谁？
podman exec mynginx whoami
# 输出：myuser（不是 root！）

# 4. 查看用户映射
podman unshare cat /proc/self/uid_map
# 0      1000      1        # 容器内 UID 0 = 宿主机 UID 1000（myuser）

Docker（root 模式）：
  攻击者逃逸 → 获得宿主机 root 权限 → 完蛋 💀

Podman（rootless 模式）：
  攻击者逃逸 → 获得的只是 myuser 权限 → 限制在用户目录内 → 可控 ✅

bashpodman pod create --name webapp -p 8080:80 -p 6379:6379

bash# 启动 Redis（加入 Pod）
podman run -d --name redis \
  --pod webapp \
  redis:7-alpine

# 启动 Nginx（加入 Pod）
podman run -d --name nginx \
  --pod webapp \
  nginx:alpine

bash# 进入 Nginx 容器
podman exec -it nginx sh

# 直接用 localhost 访问 Redis！（无需端口映射）
apk add redis
redis-cli -h localhost -p 6379 ping
# 输出：PONG ✅

bashpodman run -d --name myweb -p 8080:80 nginx:alpine

bash# 生成到当前目录
podman generate systemd --name myweb --new --files

# 查看生成的文件
cat container-myweb.service

ini[Unit]
Description=Podman container-myweb.service
Documentation=man:podman-generate-systemd(1)
Wants=network-online.target
After=network-online.target

[Service]
Environment=PODMAN_SYSTEMD_UNIT=%n
Restart=on-failure
TimeoutStopSec=70
ExecStart=/usr/bin/podman start myweb
ExecStop=/usr/bin/podman stop -t 10 myweb
ExecStopPost=/usr/bin/podman stop -t 10 myweb
ExecStopPost=/usr/bin/podman rm -f myweb
Type=forking
PIDFile=/run/user/1000/containers/overlay-containers/myweb/userdata/conmon.pid

[Install]
WantedBy=default.target

bash# 复制到系统目录（rootless 模式）
cp container-myweb.service ~/.config/systemd/user/

# 重载 systemd
systemctl --user daemon-reload

# 启动服务
systemctl --user start container-myweb.service

# 设置开机自启
systemctl --user enable container-myweb.service

# 查看状态
systemctl --user status container-myweb.service

bash# 修改容器配置（比如换镜像）
podman rm -f myweb
podman run -d --name myweb -p 9090:80 nginx:alpine

# 重新生成并替换服务文件
podman generate systemd --name myweb --new --files --replace
systemctl --user daemon-reload
systemctl --user restart container-myweb.service

bashpip3 install podman-compose
# 或
sudo dnf install -y podman-compose

yaml# docker-compose.yml
version: '3.8'
services:
  web:
    image: nginx:alpine
    ports:
      - "8080:80"
    depends_on:
      - redis
  redis:
    image: redis:7-alpine
    volumes:
      - redis_data:/data

volumes:
  redis_data:

bash# 启动（Docker 命令完全可用）
podman-compose up -d

# 查看
podman-compose ps

# 停止
podman-compose down

# 查看日志
podman-compose logs -f

bash# 直接运行 K8s 风格的 YAML！
podman play kube deployment.yaml

bashpodman images
# 或（更详细）
podman image ls

bash# Docker Hub（默认）
podman pull nginx:alpine

# 国内镜像源（阿里云）
podman pull registry.cn-hangzhou.aliyuncs.com/myrepo/nginx:alpine

# 私有 Registry（需登录）
podman login myregistry.com
podman pull myregistry.com/myapp:v1.0

bash# 保存为 tar 包
podman save -o nginx.tar nginx:alpine

# 从 tar 包加载（无需网络！）
podman load -i nginx.tar

# 导出为 OCI 存档（保留所有层）
podman save -o nginx-oci.tar nginx:alpine

bashpodman run -d \
  --name myapp \
  --cpus=1.5 \
  --memory=512m \
  --memory-swap=512m \
  --pids-limit=100 \
  nginx:alpine

bashpodman run -d \
  --name secure-app \
  --read-only \
  --tmpfs /tmp \
  --tmpfs /run \
  nginx:alpine

yamlversion: '3.8'
services:
  db:
    image: mariadb:10.11
    restart: always
    environment:
      MYSQL_ROOT_PASSWORD: rootpass123
      MYSQL_DATABASE: wordpress
      MYSQL_USER: wpuser
      MYSQL_PASSWORD: wppass123
    volumes:
      - db_data:/var/lib/mysql
    podman:
      # Podman 特有配置
      security-opt: ["label=disable"]

  wordpress:
    image: wordpress:6.4-php8.2-apache
    restart: always
    ports:
      - "8080:80"
    environment:
      WORDPRESS_DB_HOST: db:3306
      WORDPRESS_DB_USER: wpuser
      WORDPRESS_DB_PASSWORD: wppass123
      WORDPRESS_DB_NAME: wordpress
    volumes:
      - wp_data:/var/www/html
    depends_on:
      - db

volumes:
  db_data:
  wp_data:

bash# 启动
podman-compose up -d

# 查看
podman-compose ps

# 查看日志
podman-compose logs -f wordpress

# 生成 systemd 服务（生产环境）
podman generate systemd --name wordpress-db --files
podman generate systemd --name wordpress-wordpress --files

# 停止
podman-compose down