如何在CentOS 9中以非root用户通过Podman部署DB2容器

在CentOS 9机器上，非root用户已完成Podman配置（该用户已加入docker组，可正常运行其他容器），但执行以下DB2容器部署命令时失败：

podman run -d  -e DB2INSTANCE=test \
  --name db2_container \
  -e LICENSE=accept \
  -e DB2INST1_PASSWORD=mypassword \
  -e DBNAME=testdb \
  -v database:/database \
  --privileged=true \
  -p 50002:50002 \
  docker.io/ibmcom/db2:11.5.7.0a

容器无法启动，报错信息如下：

No Cgroup memory limit detected, instance memory will follow automatic tuning
(*) Remounting /database with suid... 
mount: /database: permission denied.
(*) Nothing appears in the Db2 directory. will skip update/upgrade.
(*) Code level is the same. No update/upgrade needed.
And the db2 container is not coming up.

Podman版本为5.0.2，已尝试以下方案但无效：

• 使用--security-opt label=disable禁用SELinux
• 配置userns-id

注：使用root用户可正常运行该容器。

针对非root用户通过Podman运行DB2容器的权限问题，可尝试以下方法：

• 调整卷权限
  非root用户创建的Podman卷默认权限可能无法满足DB2容器内的挂载需求，先手动创建卷并修改权限：

  # 创建命名卷
  podman volume create database
  # 临时启动alpine容器调整卷权限
  podman run --rm -v database:/database alpine chmod 777 /database
  

  完成后再执行原启动命令。

• 指定容器内以root用户运行
  用非root用户启动Podman时，添加--user root参数，让容器内进程以root身份执行，绕过挂载权限限制：

  podman run -d  -e DB2INSTANCE=test \
    --name db2_container \
    -e LICENSE=accept \
    -e DB2INST1_PASSWORD=mypassword \
    -e DBNAME=testdb \
    -v database:/database \
    --privileged=true \
    --user root \
    -p 50002:50002 \
    docker.io/ibmcom/db2:11.5.7.0a
  

• 修复Podman存储目录权限
  检查并调整非root用户的Podman存储目录权限：

  chmod -R 750 ~/.local/share/containers/
  

  若系统存在storage组，将用户加入该组：

  usermod -aG storage your_username
  

  执行后重新登录用户再尝试启动容器。

• 启用rootless模式的内核支持
  编辑/etc/sysctl.conf添加内核参数：

  kernel.unprivileged_userns_clone=1
  

  执行以下命令生效：

  sysctl -p
  

  重启用户级Podman服务：

  systemctl --user restart podman
  

内容的提问来源于stack exchange，提问作者Menka Grg