8、Podman 容器与 Pod 的使用指南

Podman 容器与 Pod 的使用指南

1. 容器安全与挂载选项

在使用容器时，安全是至关重要的。以 rootless 容器为例，除了用户命名空间外，SELinux 也是保障容器安全的重要机制，但在处理卷时可能会引发一些问题。

1.1 SELinux 卷选项

SELinux 是保护文件系统免受恶意容器进程侵害的优秀机制，多年来，它成功阻止了多次容器逃逸事件。当使用卷将操作系统的文件泄露到容器中时，从 SELinux 的角度来看，这些文件和目录必须正确标记，否则内核将阻止访问。

• z 选项 ：使用小写的 z 命令选项，Podman 会递归地将源目录中的所有内容重新标记为所有容器都可以读写的标签。
• Z 选项 ：如果卷不会被多个容器使用，使用大写的 Z 选项。它会递归地重新标记内容，使得只有容器内的进程能够读写这些内容。
• 禁用 SELinux ：当需要使用容器检查系统特定目录（如 /var/log 或 /home/dwalsh）的内容时，使用 –security-opt label=disable 选项来禁用单个容器的 SELinux 支持。示例命令如下：

$ podman run --security-opt label=disable -v /home/dwalsh:/home/dwalsh -p 8080:8080 quay.io/rhatdan/myimage