Podman容器化技术从入门到实战：无需守护进程、兼容K8s的下一代容器管理完全指南

sudo dnf install -y dnf-plugins-core
sudo dnf config-manager --add-repo https://download.opensuse.org/repositories/devel:/kubic:/libcontainers:/stable/CentOS_9_Stream/devel:kubic:libcontainers:stable.repo
sudo dnf install -y podman podman-docker  # podman-docker 提供 docker 别名

sudo apt update && sudo apt install -y podman
# 启用 rootless 用户命名空间（关键步骤）
sudo sysctl user.max_user_namespaces=28633
echo "user.max_user_namespaces=28633" | sudo tee -a /etc/sysctl.conf

podman version --format json | jq '.Client.Version'

# 拉取镜像（支持 Docker Hub / Quay.io 等）
podman pull docker.io/library/nginx:alpine

# 以 rootless 方式运行（监听 8080 端口）
podman run -d --name web -p 8080:80 nginx:alpine

# 查看运行中的容器（注意：此处无 dockerd 进程）
podman ps
ps aux | grep nginx  # 直接看到 nginx 进程由当前用户启动

# 进入容器交互式 shell
podman exec -it web sh

# 优雅停止并删除
podman stop web && podman rm web

# 1. 先创建 Pod（不运行任何容器，仅开辟网络命名空间）
podman pod create --name demo-pod -p 9000:9000

# 2. 启动第一个容器（业务 APP）—— 假设监听 9000 端口
podman run -d --pod demo-pod --name app-container \
  docker.io/nginx:alpine \
  sh -c "echo 'Hello from Podman Pod' > /usr/share/nginx/html/index.html && nginx -g 'daemon off;'"

# 3. 启动第二个容器（Sidecar 模拟日志收集，共享同一个 localhost）
podman run -d --pod demo-pod --name sidecar \
  docker.io/fluent/fluent-bit:latest \
  /fluent-bit/bin/fluent-bit -i http -p port=9000 -o stdout

# 进入 sidecar 容器测试连通性
podman exec -it sidecar wget -O- http://127.0.0.1:9000
# 输出: Hello from Podman Pod

podman pod ps
podman pod inspect demo-pod | jq '.[].Containers'

# 创建独立的卷
podman volume create mysql-data

# 在 Pod 中挂载（假设 MySQL + 备份容器共享数据目录）
podman pod create --name db-pod
podman run -d --pod db-pod --name mysql \
  -e MYSQL_ROOT_PASSWORD=secret \
  -v mysql-data:/var/lib/mysql \
  docker.io/mysql:8.0

# 备份容器同样挂载该卷，可读取数据库文件
podman run -it --pod db-pod --name backup \
  -v mysql-data:/data \
  docker.io/alpine:latest \
  sh -c "ls -la /data"

mkdir -p ~/app/logs
podman run -d --name logger -v ~/app/logs:/var/log:Z nginx:alpine

# 多阶段构建
FROM golang:1.21-alpine AS builder
WORKDIR /src
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -o /bin/app main.go

FROM alpine:latest
RUN apk --no-cache add ca-certificates
COPY --from=builder /bin/app /bin/app
EXPOSE 8080
ENTRYPOINT ["/bin/app"]

# 构建镜像（无需守护进程，直接生成层）
podman build -t myapp:latest -f Dockerfile .

# 打标签并推送到腾讯云 TCR 或 Docker Hub
podman tag myapp:latest ccr.ccs.tencentyun.com/my-namespace/myapp:v1.0
podman login ccr.ccs.tencentyun.com -u <用户名> -p <密码>
podman push ccr.ccs.tencentyun.com/my-namespace/myapp:v1.0

podman build --platform linux/amd64,linux/arm64 -t myapp:multi .
podman manifest create myapp-manifest myapp:multi
podman manifest push myapp-manifest ccr.ccs.tencentyun.com/my-namespace/myapp:multi

podman generate kube demo-pod > podman-to-k8s.yaml

apiVersion: v1
kind: Pod
metadata:
  creationTimestamp: "2026-08-13T10:00:00Z"
  name: demo-pod
spec:
  containers:
  - image: docker.io/nginx:alpine
    name: app-container
    ports:
    - containerPort: 9000
      hostPort: 9000
    ...
  - image: docker.io/fluent/fluent-bit:latest
    name: sidecar
...

# test-pod.yaml
apiVersion: v1
kind: Pod
metadata:
  name: test-nginx
spec:
  containers:
  - name: nginx
    image: nginx:alpine
    ports:
    - containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: test-svc
spec:
  selector:
    app: nginx  # 注意需匹配 Pod label
  ports:
  - port: 8080
    targetPort: 80

podman play kube test-pod.yaml
podman ps  # 容器自动运行
curl http://localhost:8080  # 通过 Service 暴露的端口访问

sudo usermod --add-subuids 100000-165535 --add-subgids 100000-165535 $USER
podman system migrate  # 重新初始化用户命名空间

# 生成服务文件（--new 表示每次启动重新创建容器，保证幂等性）
podman generate systemd --new --name demo-pod > ~/.config/systemd/user/pod-demo.service

systemctl --user daemon-reload
systemctl --user enable --now pod-demo.service
systemctl --user status pod-demo.service

# 配置 linger 使得用户未登录时服务依然运行（需 root 执行）
sudo loginctl enable-linger $USER

podman network create --subnet 10.89.0.0/24 --gateway 10.89.0.1 my-net
podman run -d --network my-net --ip 10.89.0.10 --name fixed-ip nginx:alpine
podman inspect fixed-ip | jq '.[].NetworkSettings.Networks'

sudo podman network create -d macvlan --subnet 192.168.1.0/24 --gateway 192.168.1.1 -o parent=eth0 mac-net
sudo podman run -d --network mac-net --ip 192.168.1.99 nginx:alpine

# 限制 CPU 使用率为 0.5 核
podman run -d --cpus=0.5 --name stress-test \
  docker.io/alpine:latest \
  sh -c "apk add stress && stress --cpu 2 --timeout 60"

# 通过 podman stats 实时查看（无需安装 cAdvisor）
podman stats stress-test --no-stream

podman run -it --rm docker.io/nginx:alpine \
  /bin/sh -c "apk info | wc -l"  # 手动检查包数
# 更专业：配合 aquasec/trivy 扫描本地镜像
podman run --rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy image nginx:alpine

podman run -d --name auto-nginx \
  --label "io.containers.autoupdate=image" \
  nginx:alpine

# 每日定时执行（配合 systemd timer）
podman auto-update