GitLab CI/CD Runner中Ansible Molecule与Podman集成的权限问题咨询

1. Podman是否必须以特权模式运行？ #

不是强制要求。特权模式能绕过大部分权限限制，但会带来安全风险；默认非特权模式下，只要配置得当，完全可以支撑Molecule的测试流程，只是需要解决网络创建、卷挂载、系统模拟等操作的权限问题。

2. 非特权模式的可行替代方案 #

方案一：Podman无根模式（Rootless Mode） #

• 配置GitLab Runner以普通用户身份执行作业，提前为该用户完成Podman无根模式初始化（执行podman system migrate）
• 在Molecule配置中指定podman驱动，设置podman_executable: podman，同时选用支持无根运行的测试镜像（如alpine、debian轻量镜像），避免在容器内执行必须root权限的操作

方案二：用户命名空间映射 #

• 在GitLab Runner的Podman配置中启用--userns=keep-id规则，让容器内用户与主机执行用户的权限对齐
• 调整Molecule测试用例，优先使用非root用户完成部署操作，减少对容器内root权限的依赖

3. 开源可用实现 #

目前已有成熟的开源实现：

• 多个Ansible社区维护的Molecule示例仓库，已配置GitLab CI/CD使用无根Podman运行测试，全程无需特权模式
• GitLab官方Runner文档中包含Podman无根模式的配置模板，可直接适配Molecule测试场景

4. 折中方案：最小内核能力集配置 #

如果需要保留部分特权但不想用全特权模式，可配置以下必要内核能力：

• CAP_NET_ADMIN：用于创建和管理测试所需的容器网络
• CAP_SYS_CHROOT：支持容器内的chroot操作，部分镜像初始化需要
• CAP_MKNOD：创建必要的设备文件（如/dev/null等）
• CAP_SETUID/CAP_SETGID：允许容器内切换用户权限完成部署

在Molecule配置中添加如下规则：

platforms:
  - name: instance
    driver:
      name: podman
      options:
        cap_add:
          - NET_ADMIN
          - SYS_CHROOT
          - MKNOD
          - SETUID
          - SETGID
        privileged: false

同时配合用户命名空间映射，进一步降低权限风险。

5. GitLab CI/CD配置示例 #

molecule_test:
  image: quay.io/podman/stable:latest
  stage: test
  before_script:
    - mkdir -p ~/.config/containers
    - echo '{"default": {"userns": "keep-id"}}' > ~/.config/containers/containers.conf
    - podman system migrate
    - pip install ansible molecule molecule-podman
  script:
    - molecule test
  tags:
    - podman-runner

内容的提问来源于stack exchange，提问作者Open Food Broker