如何隐藏Podman容器进程，避免被宿主机查看？

Podman默认情况下（尤其是rootful运行模式），容器内的进程会直接暴露在宿主机的进程列表中，这是因为未启用用户命名空间隔离。要隐藏这些进程，核心是通过用户命名空间将容器进程与宿主机进程隔离开，以下是具体实现方法：

方法1：在podman-compose.yml中为每个容器启用独立用户命名空间 #

直接在每个服务配置中添加userns_mode: private参数，让Podman为容器创建独立的用户命名空间，容器内的UID/GID会被映射到宿主机的闲置UID范围，宿主机的ps/htop将无法识别到容器内的进程（或仅显示无意义的映射UID）。

修改后的podman-compose.yml示例：

version: '3.8'

services:
  web:
    image: app_web:latest
    restart: always
    container_name: app_web
    userns_mode: private  # 启用独立用户命名空间
    volumes:
      - ./staticfiles:/app/web/staticfiles
      - ./media:/app/web/media
    networks:
      - app-net
  ngx:
    image: app_ngx:latest
    restart: always
    container_name: app_ngx
    userns_mode: private  # 启用独立用户命名空间
    volumes:
      - ./staticfiles:/app/web/staticfiles
      - ./media:/app/web/media
    ports:
      - 80:80
    networks:
      - app-net
    depends_on:
      - web

networks:
  app-net:
    driver: bridge

方法2：全局配置Podman默认启用用户命名空间 #

如果希望所有新建容器都默认启用隔离，可以修改Podman的全局配置文件/etc/containers/containers.conf，添加或修改以下配置：

[containers]
default_userns_mode = "private"

修改后重启Podman服务，后续创建的容器都会自动使用独立用户命名空间，无需在compose文件中逐个配置。

注意事项 #

启用用户命名空间后，容器与宿主机的卷挂载可能会出现权限问题：

• 容器内的用户UID会被映射到宿主机的非特权UID范围，若需要宿主机与容器共享卷的权限，可以提前在/etc/subuid和/etc/subgid中为运行Podman的用户分配足够的UID/GID范围（rootless模式下需要配置，rootful模式下Podman会自动处理）。
• 若出现卷访问权限错误，可以手动调整宿主机卷目录的权限，使其匹配容器内映射后的UID。

内容的提问来源于stack exchange，提问作者user28616306