Rootless Podman挂载只读主机目录实现容器用户权限访问

核心解决方案命令 #

针对你的场景，直接使用以下参数组合启动容器即可实现需求：

podman run --rm -it \
  --userns keep-id:uid=$(id -u john),gid=$(id -g john) \
  --group-add $(getent group data | cut -d: -f3) \
  -v /mnt/db:/data/db:ro \
  <你的容器镜像名称>

参数逐一解释 #

• --userns keep-id:uid=$(id -u john),gid=$(id -g john)：强制将主机用户john的UID/GID映射到容器内的contjohn用户。之前仅用--userns keep-id未指定UID/GID时，Podman可能因容器内contjohn的UID与主机john不匹配，导致挂载目录归nobody所有，此参数直接固化映射关系，确保容器内用户与主机用户的身份对齐。
• --group-add $(getent group data | cut -d: -f3)：将容器内contjohn加入主机data组对应的GID组。主机/mnt/db的权限为root:data rwxr-x---，data组拥有读执行权限，此参数让容器内用户获得该组权限，满足只读访问需求。
• -v /mnt/db:/data/db:ro：以只读方式挂载主机目录，既符合主机john的权限限制，也避免容器内误操作修改主机文件。

之前尝试失败的原因解析 #

• 仅用--userns keep-id：未指定具体UID/GID时，Podman默认映射当前用户UID，但如果容器内contjohn的UID与主机john不一致，映射后的UID在容器内无对应用户，就会显示为nobody。
• 使用-U（--user）指定john:data：容器内不存在john用户，无法直接映射主机用户组，导致权限匹配失败。
• uidmap/gidmap格式错误：手动映射需严格遵循--uidmap <容器UID>:<主机UID起始>:<映射范围>格式，比如--uidmap 2000:1000:1（容器内UID2000对应主机UID1000），格式错误直接导致映射失效。

验证步骤 #

1. 提前确认主机data组的GID：执行getent group data，输出类似data:x:1001:，其中1001即为目标GID。
2. 进入容器后验证用户身份：执行id contjohn，应显示UID与主机john一致，且附加组包含主机data组的GID。
3. 测试目录访问：执行ls /data/db，应能正常读取所有文件。

内容的提问来源于stack exchange，提问作者aluriak