掌握 Podman：安装、使用与核心命令 – wiki基地

作者： /

掌握 Podman：深入了解安装、使用与核心命令

在现代软件开发和运维领域，容器化技术已成为不可或缺的一部分。Docker 以其易用性和强大的生态系统长期占据主导地位，但随着技术的发展和对安全、灵活性需求的提升，新的替代方案应运而生。Podman 就是其中一颗冉冉升起的新星，它提供了一个与 Docker 兼容的命令行界面，但采用了无守护进程（Daemonless）和优先支持无根模式（Rootless）的架构，带来了显著的优势。本文将深入探讨 Podman 的世界，从安装部署到日常使用，再到核心命令的详解，助您全面掌握这一强大的容器管理工具。

一、 什么是 Podman？为何选择它？

Podman（Pod Manager）是一个开源的 Linux 原生容器管理工具，旨在提供创建、管理和运行 OCI（Open Container Initiative）兼容容器和容器镜像的能力。它的设计目标是成为 Docker 的直接替代品，特别是在命令行交互方面。

选择 Podman 的核心理由：

  1. 无守护进程架构 (Daemonless): 这是 Podman 与 Docker 最根本的区别。Docker 依赖于一个长期运行的后台守护进程（dockerd）来管理所有容器、镜像、卷和网络。这意味着所有 Docker 操作都需要通过这个中心化的守护进程，它通常以 root 权限运行，存在潜在的安全风险和单点故障问题。Podman 则不同，每个 Podman 命令直接通过 fork/exec 模型启动和管理容器，无需中央守护进程。这带来了诸多好处：

    • 增强安全性: 操作直接由用户发起，可以更好地利用 Linux 的用户命名空间、Seccomp、SELinux/AppArmor 等安全特性。尤其是无根模式下，容器内的 root 用户并非宿主机的真正 root，极大降低了容器逃逸的风险。
    • Systemd 集成更佳: 每个容器可以看作是一个由用户启动的独立进程，更容易与 Systemd 等 init 系统集成，实现容器的生命周期管理（如开机自启、服务依赖等）。
    • 资源效率: 没有常驻的守护进程，可以节省一部分系统资源。

  2. 无根模式 (Rootless) 优先: Podman 从设计之初就将无根模式作为一等公民。普通用户无需 sudo 或 root 权限即可构建、运行和管理自己的容器。这对于多租户环境、开发人员本地环境以及任何关注最小权限原则的场景都极具价值。无根容器利用用户命名空间（user namespaces）将容器内的 UID/GID 映射到宿主机上的非特权用户范围，提供了强大的隔离。

  3. Pod 概念的原生支持: Podman 引入了与 Kubernetes Pod 类似的概念。一个 Pod 是一组共享相同网络命名空间、IPC 命名空间和（可选）PID 命名空间的容器。这使得在一组紧密协作的容器（例如一个应用服务器和一个 sidecar 代理）的管理上更加便捷，也为未来将应用迁移到 Kubernetes 提供了更平滑的过渡。

  4. Docker 兼容性: Podman 的命令行接口（CLI）与 Docker 高度兼容。对于熟悉 Docker 命令的用户来说，迁移成本非常低。很多情况下，只需将 docker 命令替换为 podman 即可（alias docker=podman 是常见的做法）。它同样支持 Dockerfile 用于构建镜像，并能拉取和推送 Docker Hub 或其他 OCI 兼容的镜像仓库中的镜像。

  5. 遵循 OCI 标准: Podman 严格遵循 OCI 运行时规范（runtime spec）和镜像规范（image spec），确保了与整个容器生态系统的互操作性。

二、 Podman 的安装

Podman 主要面向 Linux 系统，但也通过虚拟机或 WSL (Windows Subsystem for Linux) 在 macOS 和 Windows 上使用。

在 Linux 上安装:

  • Fedora / CentOS Stream / RHEL 8+: Podman 通常是默认包含或在官方仓库中提供。
    bash
    sudo dnf install podman -y
    # 或者 RHEL/CentOS:
    # sudo yum install podman -y

  • Ubuntu 20.04 LTS 及更高版本 / Debian 11 及更高版本:
    bash
    sudo apt update
    sudo apt install podman -y
    注意：较旧版本的 Ubuntu/Debian 可能需要添加 PPA 或使用 backports 仓库。

  • Arch Linux:
    bash
    sudo pacman -S podman

  • openSUSE:
    bash
    sudo zypper install podman

安装后的验证:

bash
podman --version
podman info

podman info 会显示关于 Podman 环境的详细信息，包括存储驱动、网络后端、是否以 rootless 模式运行等。

为 Docker 用户提供兼容性 (可选):

为了让习惯 docker 命令的用户无缝切换，可以安装 podman-docker 包。这个包通常会创建一个 docker 到 podman 的符号链接或别名。

“`bash

Fedora/RHEL/CentOS

sudo dnf install podman-docker -y

Ubuntu/Debian

sudo apt install podman-docker -y
``
安装后，你就可以直接使用docker` 命令，而实际上是由 Podman 在执行。

在 macOS 和 Windows 上:

官方推荐的方式是使用 Podman Desktop 或在虚拟机/WSL2 环境中安装 Linux 发行版并安装 Podman。

  • Podman Desktop: 提供图形化界面，并在后台管理一个轻量级 Linux 虚拟机 (macOS/Windows) 或利用 WSL2 (Windows) 来运行 Podman 服务。
  • 手动设置 (WSL2 on Windows):
    1. 确保已安装并启用 WSL2。
    2. 从 Microsoft Store 安装一个 Linux 发行版 (如 Ubuntu)。
    3. 在 WSL 发行版中按照对应的 Linux 安装说明安装 Podman。
    4. 可以通过 podman machine 命令（需要先安装）来管理一个专门的 Podman 虚拟机，但这在 WSL2 普及后较少使用。

三、 Podman 核心概念简述

在深入命令之前，理解几个 Podman 的核心概念很重要：

  • 镜像 (Image): 只读模板，包含运行容器所需的文件系统和元数据（如启动命令）。
  • 容器 (Container): 镜像的可运行实例。每个容器拥有自己隔离的文件系统、进程空间和网络接口（除非共享）。
  • 仓库 (Registry): 存储和分发镜像的地方（如 Docker Hub, Quay.io）。
  • Pod: 一组共享网络和（可选）其他命名空间的容器。Pod 内的容器可以通过 localhost 相互通信，并且可以共享卷。这是 Podman 相对于 Docker CLI 的一个独特增强。
  • 卷 (Volume): 用于持久化存储容器数据的机制，独立于容器的生命周期。
  • 网络 (Network): 定义容器如何相互通信以及如何连接到外部世界。Podman 支持多种网络模式。

四、 Podman 核心命令详解

Podman 的命令设计与 Docker 非常相似，这大大降低了学习曲线。下面分类介绍一些最常用和核心的命令。

1. 镜像管理 (Image Management)

  • podman pull <image_name>[:<tag>]: 从镜像仓库拉取镜像。

    • 示例：podman pull docker.io/library/ubuntu:latest
    • 示例：podman pull quay.io/prometheus/prometheus:v2.30.3
    • 如果不指定仓库地址，默认会尝试 docker.io 等预配置的仓库。

  • podman images: 列出本地存储的镜像。

    • 常用选项：
      • -a, --all: 显示所有镜像（包括中间层）。
      • -q, --quiet: 只显示镜像 ID。
      • --filter <key>=<value>: 根据条件过滤镜像 (例如 --filter dangling=true)。

  • podman rmi <image_id_or_name> [...]: 删除一个或多个本地镜像。

    • 示例：podman rmi ubuntu:latest
    • 示例：podman rmi image_id1 image_id2
    • 常用选项：
      • -f, --force: 强制删除（即使有容器正在使用它，但通常需要先停止/删除容器）。

  • podman build -t <image_name>[:<tag>] <path_to_dockerfile_dir>: 使用 Dockerfile 构建镜像。

    • 示例：podman build -t myapp:1.0 . (在当前目录查找 Dockerfile)
    • 常用选项：
      • -f <dockerfile_path>: 指定 Dockerfile 的路径。
      • --no-cache: 构建时不使用缓存。
      • --build-arg <key>=<value>: 设置构建时变量。

  • podman tag <source_image>[:<tag>] <target_image>[:<tag>]: 为本地镜像创建一个新的标签（别名）。

    • 示例：podman tag myapp:1.0 myregistry.com/myuser/myapp:latest

  • podman push <image_name>[:<tag>]: 将本地镜像推送到镜像仓库。

    • 示例：podman push myregistry.com/myuser/myapp:latest
    • 推送前可能需要使用 podman login <registry_address> 进行登录。

  • podman history <image_name>: 显示镜像的构建历史（各层信息）。

  • podman inspect <image_name_or_id>: 显示镜像的详细元数据（JSON 格式）。

2. 容器生命周期管理 (Container Lifecycle)

  • podman run [options] <image_name>[:<tag>] [command] [args...]: 基于镜像创建并启动一个新容器。这是最核心也最复杂的命令之一。

    • 常用选项：
      • -d, --detach: 在后台运行容器并打印容器 ID。
      • -it: 分配一个伪 TTY 并保持 STDIN 打开，用于交互式会话 (-i 交互, -t tty)。
      • --name <container_name>: 为容器指定一个名称。
      • -p <host_port>:<container_port>: 将宿主机端口映射到容器端口。
      • -v <host_path>:<container_path>[:<options>]: 挂载卷或绑定挂载宿主机目录。
        • 示例 (绑定挂载): podman run -v /data/myapp:/app/data myapp
        • 示例 (命名卷): podman run -v mydata_volume:/app/data myapp (卷需先 podman volume create mydata_volume)
      • -e <key>=<value>: 设置环境变量。
      • --rm: 容器退出时自动删除容器。
      • --network <network_name>: 将容器连接到指定的网络。
      • --pod <pod_name_or_id>: 将容器加入到一个已存在的 Pod 中。
    • 示例 (运行 Nginx 并在后台，端口映射):
      podman run -d --name mynginx -p 8080:80 docker.io/library/nginx:latest
    • 示例 (交互式运行 Ubuntu):
      podman run -it --rm docker.io/library/ubuntu:latest /bin/bash

  • podman ps: 列出正在运行的容器。

    • 常用选项：
      • -a, --all: 列出所有容器（包括已停止的）。
      • -q, --quiet: 只显示容器 ID。
      • --filter <key>=<value>: 根据条件过滤 (例如 --filter status=exited, --filter name=mynginx)。
      • --format <go_template>: 自定义输出格式。

  • podman stop <container_id_or_name> [...]: 停止一个或多个运行中的容器。

    • 常用选项：
      • -t, --time <seconds>: 等待指定秒数后强制停止 (SIGKILL)。

  • podman start <container_id_or_name> [...]: 启动一个或多个已停止的容器。

  • podman restart <container_id_or_name> [...]: 重启一个或多个容器。

  • podman rm <container_id_or_name> [...]: 删除一个或多个已停止的容器。

    • 常用选项：
      • -f, --force: 强制删除运行中的容器 (不推荐，应先 stop)。
      • -v: 同时删除与容器关联的匿名卷。

  • podman logs <container_id_or_name>: 获取容器的标准输出和标准错误日志。

    • 常用选项：
      • -f, --follow: 持续跟踪日志输出。
      • --tail <number>: 只显示最后 N 行日志。
      • --since <timestamp> / --until <timestamp>: 显示指定时间范围内的日志。

  • podman exec [options] <container_id_or_name> <command> [args...]: 在运行中的容器内执行一个命令。

    • 常用选项：
      • -it: 用于交互式命令 (例如 podman exec -it mycontainer /bin/bash)。
      • -u, --user <user>: 指定执行命令的用户。
    • 示例：podman exec mynginx ls /usr/share/nginx/html

  • podman cp <src_path> <dest_path>: 在宿主机和容器之间复制文件/目录。

    • container_id:/path/to/file 表示容器内路径。
    • 示例 (从容器复制到宿主机): podman cp mycontainer:/app/logs/error.log ./error.log
    • 示例 (从宿主机复制到容器): podman cp ./config.conf mycontainer:/app/config/

  • podman inspect <container_id_or_name>: 显示容器的详细配置和状态信息（JSON 格式）。

3. Pod 管理 (Pod Management)

Podman 的 Pod 功能是其一大特色。

  • podman pod create [options]: 创建一个新的 Pod。

    • 常用选项：
      • --name <pod_name>: 指定 Pod 名称。
      • -p, --publish <host_port>:<container_port>: 在 Pod 级别发布端口，Pod 内所有容器共享此映射。
      • --network <network_name>: 指定 Pod 使用的网络。
    • 示例：podman pod create --name myapp-pod -p 8000:80

  • podman pod ps: 列出正在运行的 Pod。

    • -a 列出所有 Pod。

  • podman pod start <pod_id_or_name> [...]: 启动一个或多个已停止的 Pod（及其内部容器）。

  • podman pod stop <pod_id_or_name> [...]: 停止一个或多个运行中的 Pod（及其内部容器）。

  • podman pod restart <pod_id_or_name> [...]: 重启一个或多个 Pod。

  • podman pod rm <pod_id_or_name> [...]: 删除一个或多个已停止的 Pod。

    • -f 强制删除。需要先停止 Pod 内的容器。

  • podman pod inspect <pod_id_or_name>: 显示 Pod 的详细信息。

  • 在 Pod 内运行容器: 使用 podman run 的 --pod <pod_name_or_id> 选项。

    • 示例：
      bash
      podman pod create --name web-pod -p 8080:80
      podman run -d --pod web-pod --name webserver nginx
      podman run -d --pod web-pod --name sidecar alpine sleep infinity
      在这个例子中，webserver 和 sidecar 容器共享同一个网络命名空间（可以通过 localhost 互相访问），并且宿主机的 8080 端口映射到了 Pod 的 80 端口。

4. 网络管理 (Network Management)

Podman 使用 CNI (Container Network Interface) 插件来管理网络。

  • podman network create <network_name>: 创建一个新的自定义网络。

    • 常用选项：
      • --driver <driver>: 指定网络驱动 (默认 bridge)。
      • --subnet <subnet>: 指定网络的子网 CIDR。
      • --gateway <gateway>: 指定网络的网关 IP。

  • podman network ls: 列出可用的网络。

  • podman network rm <network_name> [...]: 删除一个或多个网络。

  • podman network inspect <network_name>: 显示网络的详细配置。

  • podman network connect <network_name> <container_name_or_id>: 将一个运行中的容器连接到一个网络。

  • podman network disconnect <network_name> <container_name_or_id>: 将一个运行中的容器从一个网络断开。

5. 卷管理 (Volume Management)

用于持久化数据。

  • podman volume create <volume_name>: 创建一个命名卷。

    • Podman 卷默认存储在用户的主目录下（rootless 模式）或系统目录下（root 模式）。

  • podman volume ls: 列出可用的卷。

  • podman volume rm <volume_name> [...]: 删除一个或多个卷。

    • 注意：如果卷正在被容器使用，通常无法删除。

  • podman volume inspect <volume_name>: 显示卷的详细信息（包括挂载点路径）。

  • podman volume prune: 删除所有未被任何容器使用的卷。

6. 系统相关命令

  • podman login <registry_address>: 登录到镜像仓库。
  • podman logout <registry_address>: 登出镜像仓库。
  • podman info: 显示 Podman 系统信息。
  • podman version: 显示 Podman 客户端和（如果适用）服务器版本信息。

  • podman system prune: 清理未使用的资源（停止的容器、未使用的网络、悬空的镜像和构建缓存）。

    • -a: 清理所有未使用的镜像，而不仅仅是悬空的。
    • --volumes: 同时清理未使用的卷。

  • podman system df: 显示 Podman 使用的磁盘空间。

五、 Podman 的无根模式 (Rootless) 实践

无根模式是 Podman 的核心优势之一。当你以普通用户身份运行 Podman 时，默认就处于无根模式。

工作原理简述:

  • 用户命名空间 (User Namespaces): 这是实现无根容器的关键。它允许容器内的 UID/GID 映射到宿主机上该用户拥有的一个非特权 UID/GID 范围。例如，容器内的 root 用户 (UID 0) 实际映射为宿主机上的普通用户 UID（例如 1000），而容器内的其他 UID 则映射到宿主机上为该用户分配的一个高位 UID 段（通过 /etc/subuid 和 /etc/subgid 文件配置）。
  • 网络: 无根容器默认使用 slirp4netns 进行网络连接。它提供了一种用户态的网络模式，允许容器访问外部网络，但性能相对内核级网络（如 bridge）较低，且默认不支持从外部直接访问容器端口（需要特殊配置或使用 pasta 等新后端）。端口映射 (-p) 在无根模式下可能需要额外注意，特别是对于低于 1024 的特权端口。
  • 存储: 无根模式下，容器镜像和数据默认存储在用户的主目录下 (~/.local/share/containers/storage)。

注意事项:

  • 端口映射: 映射到宿主机的特权端口 (<1024) 在无根模式下通常是不允许的，除非进行了额外的系统配置（如 net.ipv4.ip_unprivileged_port_start sysctl 参数）。建议映射到 1024 以上的端口。
  • 性能: slirp4netns 网络性能可能不如 root 模式下的 CNI 网桥。对于需要高性能网络的场景，可以考虑配置 CNI 网桥供无根模式使用，但这需要更复杂的设置。
  • 资源限制: 无根容器受限于运行它的用户的资源限制（cgroups）。
  • 文件权限: 挂载宿主机目录时，需要注意文件权限问题，因为容器内的 UID 与宿主机不同。Podman 提供了一些选项来处理 UID/GID 映射。

尽管存在一些限制，无根模式带来的安全优势在许多场景下是压倒性的。

六、 结语

Podman 作为 Docker 的有力竞争者和替代方案，凭借其无守护进程、无根优先、原生 Pod 支持以及与 Docker 的高度兼容性，在容器领域占据了重要的位置。它不仅提供了更强的安全性，还与现代 Linux 系统（如 Systemd）集成得更加自然。

从简单的容器运行到复杂的多容器 Pod 应用，再到镜像构建和网络、存储管理，Podman 提供了一套完整且强大的工具集。虽然对于习惯 Docker 生态（如 Docker Compose, Docker Swarm）的用户可能需要适应一些新的工具和概念（如 podman-compose, Podman 的 Systemd 集成方式），但其核心命令行体验的相似性使得迁移过程相对平滑。

掌握 Podman，意味着你拥有了一个更安全、更灵活、更符合 Linux 哲学的容器管理利器。无论你是开发者、运维工程师还是安全专家，深入了解和使用 Podman 都将为你的工作带来价值。希望本文的详细介绍能为你驾驭 Podman 提供坚实的基础。

发表评论

您的邮箱地址不会被公开。 必填项已用 * 标注