Коротко о главном

Podman запускает контейнеры без постоянного демона и умеет работать от обычного пользователя. Команды похожи на docker, поэтому переход занимает минуты, но архитектура другая: контейнеры — это процессы, которыми управляет systemd, а не клиенты одного привилегированного сервиса. Для домашнего сервера это заметно снижает риски.

Rootless-контейнеры ограничивают ущерб при компрометации: процесс не получает прав root на хосте. Podman также умеет генерировать systemd-юниты, что удобно для автозапуска без отдельного демона и лишних зависимостей.

Нужно быстро начать работать с Podman? Вот короткий маршрут: установка, минимальная настройка и проверка результата. Длинную теорию оставим для отдельных материалов.

Установка

В Debian, Ubuntu и Linux Mint используется пакетный менеджер APT:

sudo apt install podman podman-compose

В Fedora и RHEL-совместимых системах пакет ставится через DNF:

sudo dnf install podman podman-compose

В Arch Linux и производных пакет доступен в официальных репозиториях:

sudo pacman -S podman podman-compose

Минимальная настройка

1. Проверьте установку и режим

Убедитесь, что Podman работает без демона и что вы запускаете его от обычного пользователя. Rootless-режим — главное преимущество, не отключайте его без причины.

podman --version
podman info --format '{{.Host.Security.Rootless}}'
podman run --rm alpine echo ok

2. Настройте подчинённые UID

Для rootless-контейнеров нужен диапазон подчинённых идентификаторов. Проверьте, что он выделен пользователю.

grep "^$(whoami):" /etc/subuid /etc/subgid
podman unshare cat /proc/self/uid_map

3. Запустите первый сервис

Создайте том и запустите контейнер с публикацией порта только на localhost. Так сервис не окажется в сети до настройки прокси.

podman volume create appdata
podman run -d --name app -p 127.0.0.1:8080:80 -v appdata:/data docker.io/library/nginx:alpine
curl -I http://127.0.0.1:8080

4. Настройте автозапуск через systemd

Podman не держит демон, поэтому автозапуск делается юнитом пользователя. Сгенерируйте его из работающего контейнера и включите.

podman generate systemd --new --name app > ~/.config/systemd/user/container-app.service
systemctl --user daemon-reload
systemctl --user enable --now container-app.service

Минимальный конфиг

Начните с минимального рабочего варианта. Не копируйте большой конфиг целиком: добавляйте параметры по одному и проверяйте результат после каждого изменения.

# ~/.config/containers/registries.conf
unqualified-search-registries = ["docker.io"]

# ~/.config/containers/storage.conf
[storage]
driver = "overlay"

Шпаргалка по командам

  • Проверьте установку и режим: podman —version
  • Настройте подчинённые UID: grep «^$(whoami):» /etc/subuid /etc/subgid
  • Запустите первый сервис: podman volume create appdata
  • Настройте автозапуск через systemd: podman generate systemd —new —name app > ~/.config/systemd/user/container-app.service
  • Включите lingering: loginctl enable-linger $(whoami)
  • Проверьте обновление и логи: podman pull docker.io/library/nginx:alpine

Практические советы

Эти рекомендации проверены на повседневных задачах. Начните с тех, которые закрывают вашу текущую боль, а не со всего списка сразу.

Совет 1. Не запускайте rootless-контейнеры с —privileged: это сводит защиту на

Не запускайте rootless-контейнеры с —privileged: это сводит защиту на нет.

Совет 2. Для портов ниже 1024 используйте обратный прокси, а не повышение прав.

Для портов ниже 1024 используйте обратный прокси, а не повышение прав.

Совет 3. Храните данные в именованных томах или явных каталогах, а не внутри ко

Храните данные в именованных томах или явных каталогах, а не внутри контейнера.

Совет 4. podman-compose удобен, но не покрывает все возможности docker compose

podman-compose удобен, но не покрывает все возможности docker compose — проверяйте сложные файлы.

Что дальше

Быстрый старт не означает «настроить навсегда». Когда базовый сценарий заработает, вернитесь к конфигурации и проверьте, что она переживёт перезагрузку: файлы на месте, служба включена в автозагрузку, путь к данным не зависит от текущего каталога.

Дальше имеет смысл разобраться с резервной копией и журналами Podman. Это не самая заметная часть работы, но именно она превращает эксперимент в инструмент, которым можно пользоваться каждый день.

Чек-лист

  • Команды из шпаргалки выполняются без ошибок после перезагрузки.
  • Пароли и токены не хранятся в истории команд и конфигурации в открытом виде.
  • Понятно, где смотреть логи и что считать признаком проблемы.
  • Есть копия конфигурации, которую можно восстановить.

Короткие ответы на частые вопросы

Нужно ли запускать всё от root?

Нет. Права root нужны для установки пакетов и изменения системных файлов, но сама программа и её данные должны принадлежать отдельному пользователю. Постоянная работа под root превращает любую ошибку в критическую.

Что делать, если после перезагрузки ничего не работает?

Сначала проверьте, включена ли служба в автозагрузку и не изменился ли путь к конфигурации. Посмотрите журнал текущей загрузки: он почти всегда указывает на отсутствующий файл, неверные права или занятый порт.

Как обновлять без сюрпризов?

Читайте примечания к версии, делайте резервную копию конфигурации и проверяйте обновление на тестовом стенде. Не обновляйтесь в пятницу вечером перед выходными: время на откат должно быть частью плана.

Итог

Этого достаточно, чтобы начать. Дальше углубляйтесь по мере задач: документация Podman станет понятнее, когда появится реальный сценарий использования.

Насколько публикация полезна?

Нажмите на звезду, чтобы оценить!

Средняя оценка 0 / 5. Количество оценок: 0

Оценок пока нет. Поставьте оценку первым.

Поделиться: Telegram ВКонтакте