普通用户可在 linux 上 rootless 运行 podman，需管理员配置 subuid/subgid、启用 user namespaces、设置 fuse-overlayfs 和 crun；用户端验证 rootless=true 后即可直接使用，镜像存于 ~/.local/share/containers/storage。
普通用户要在 Linux 上以 rootless（无特权）方式运行 Podman，核心是让容器进程完全脱离 root 权限，靠内核的用户命名空间（user namespaces）实现隔离。这不是“开个开关”就能用，而是需要系统管理员完成基础配置，之后普通用户即可直接使用，无需 sudo。
系统管理员需完成的配置
这些步骤只需执行一次，通常由运维或具备 root 权限的人操作：
-
安装 Podman 及必要工具：根据发行版执行对应命令
Ubuntu/Debian：sudo apt install podman slirp4netns fuse-overlayfs
Fedora/RHEL/CentOS：sudo dnf install podman passt（Podman 5.0+ 推荐 pasta） -
配置子 UID/GID 映射：编辑
/etc/subuid和/etc/subgid，为每个目标用户分配一段连续 UID/GID 范围（如 65536 个）
示例（为用户alice分配）：/etc/subuid中写入：alice:100000:65536/etc/subgid中写入：alice:100000:65536
更推荐用命令自动添加：sudo usermod --add-subuids 100000-165535 --add-subgids 100000-165535 alice -
启用用户命名空间支持：确认内核允许足够数量的用户命名空间
运行sysctl user.max_user_namespaces，若输出值低于 28633，可临时设置：sudo sysctl user.max_user_namespaces=28633
永久生效则写入/etc/sysctl.d/99-userns.conf -
（可选但推荐）配置默认存储与运行时：
编辑/etc/containers/storage.conf，确保mount_program = "/usr/bin/fuse-overlayfs"
若系统使用 cgroup v2（Ubuntu 22.04+/Fedora 31+ 默认），建议在/etc/containers/containers.conf中设：[engine]runtime = "crun"
普通用户端验证与使用
用户登录后无需额外配置，直接验证即可：
- 运行
podman --version确认安装可用 - 检查是否已启用 rootless：
podman info --format '{{.Host.Security.Rootless}}'，应输出true - 拉取并运行首个容器：
podman run --rm hello-world，成功即表示 rootless 工作正常 - 镜像和容器数据默认存于：
镜像：~/.local/share/containers/storage
运行时状态：/run/user/$UID/containers（依赖 systemd 用户会话）或/tmp/run-$UID/containers（无 systemd 时）
常见限制与绕过方法
rootless 模式有天然边界，了解它们能避免踩坑：
-
端口绑定限制：无法直接绑定 1–1023 端口
解决方案一（推荐）：改用高位端口，如-p 8080:80
解决方案二：允许非特权端口起始点（需管理员执行）：sudo sysctl net.ipv4.ip_unprivileged_port_start=80 -
网络功能受限：默认使用用户态网络栈（pasta/slirp4netns），不支持 host 网络模式
如需更接近 host 的行为，可显式指定：podman run --net=pasta nginx或--net=slirp4netns -
挂载卷权限问题：宿主机文件 UID/GID 与容器内不一致时可能报错
加--userns=keep-id让容器内 UID 1:1 映射到当前用户，例如：podman run -v $(pwd):/src --userns=keep-id alpine ls -l /src
调试与开发场景适配
比如在 VSCode 中调试 rootless 容器，关键不是启动 systemd，而是暴露 API socket：
- 用户手动启动服务：
podman system service --time=0 unix:///tmp/podman.sock & - 设置环境变量：
export PODMAN_SOCKET=unix:///tmp/podman.sock - VSCode 的
.devcontainer/devcontainer.json中加入："containerEnv": { "PODMAN_SOCKET": "unix:///tmp/podman.sock" }
并启用"devContainer.podman.rootless": true
