podman rootless核心是用户命名空间隔离，需管理员配置subuid/subgid、启用user namespaces、设置fuse-overlayfs；用户端验证.host.userspacecontainer为true后，镜像存于~/.local/share/containers/storage。
直接用 Podman 替代 Docker 实现无根（rootless）容器，核心不是“换命令”，而是切换运行身份和理解底层机制。它不需要守护进程，也不依赖 root 权限，所有操作默认以当前普通用户身份完成。
确认并启用 rootless 模式
Podman 默认支持 rootless，但部分系统安装后仍以 root 模式运行。关键验证命令是：
podman info --format '{{.Host.UserspaceContainer}}'
输出 true 才表示已启用用户空间容器（即 rootless）。若为 false 或报错，需检查：
- 是否已安装
slirp4netns和fuse-overlayfs（rootless 必需的网络与存储后端） - Linux 内核是否开启 user_namespaces（Ubuntu/Debian 通常默认开启；RHEL/CentOS 可能需手动启用：
sudo sysctl user.max_user_namespaces=10000） - 用户是否在
/etc/subuid和/etc/subgid中有足够 ID 映射（如youruser:100000:65536）
使用默认用户级存储路径
rootless 模式下，Podman 自动将镜像、容器、卷等存放在：
$HOME/.local/share/containers/storage
这个路径受 home 分区空间和 SELinux 策略影响较大。常见问题如 “no space left on device” 往往不是磁盘真满，而是：
- home 分区实际剩余不足 1GB（尤其模型镜像常超数 GB）
- SELinux 标签冲突，可临时禁用测试：
podman run --security-opt label=disable ... - 用
podman system prune -a清理当前用户下的无用数据（注意：不清理 root 用户数据）
挂载宿主机目录与设备（GPU）
rootless 模式默认禁止 bind mount 宿主机路径，避免越权访问。要挂载本地目录（如模型缓存、配置文件），必须显式授权：
方法一（推荐）： 先运行 podman unshare 初始化命名空间权限：podman unshare echo "ready" —— 成功即表示后续挂载可用
方法二（快速绕过）： 启动时加安全选项：--security-opt label=disable 或 --security-opt no-new-privileges:true
GPU 支持需额外配置：
先注册 NVIDIA 运行时：sudo nvidia-ctk runtime configure --runtime=podman
再启动容器时显式传递设备：--device /dev/nvidia0 --device /dev/nvidiactl --device /dev/nvidia-uvm
兼容现有 Docker 工作流
绝大多数 Docker CLI 命令可直接替换为 podman，例如：
-
docker build -t myapp .→podman build -t myapp . -
docker run -p 8080:80 myapp→podman run -p 8080:80 myapp - Docker Compose 文件可用
podman-compose或原生podman compose（v4+）运行
环境变量文件（env_file:）、端口映射、网络模式（--network host）均支持良好，但注意 rootless 下 --network slirp4netns 是默认且唯一可用的用户态网络。
