Podman无root容器内无法挂载NFS的问题求助

问题描述 #

尝试在Podman无root容器内挂载NFS，已测试添加/不添加CAP权限、启用特权模式等多种方式，仅以root身份运行Podman时挂载成功，耗时两周仍未解决。

测试场景与结果 #

1. root身份添加CAP权限（成功） #

[root@rack-host1~]# podman run --cap-add=CAP_SYS_ADMIN -it myredhatimage:8 bash 
[root@d8e09797b797 /]# mount -vv -t nfs4 -o rw,relatime,vers=4.0,rsize=65536,wsize=65536,namlen=255,hard,proto=tcp,timeo=600,retrans=2,sec=sys,local_lock=none,addr=10.0.0.12 nfs-server06:/MoviesShare /data
mount: nfs-server06:/MoviesShare mounted on /data.
[root@d8e09797b797 /]# ls /data
configs  containers  movies  logs  pictures

2. 非root身份无CAP权限（失败） #

[podman-user@rack-host1~]$ podman run -it myredhatimage:8 bash
[root@fbd0cfca851d /]# mkdir -p /data
[root@fbd0cfca851d /]# mount -vv -t nfs4 -o rw,relatime,vers=4.0,rsize=65536,wsize=65536,namlen=255,hard,proto=tcp,timeo=600,retrans=2,sec=sys,local_lock=none,addr=10.0.0.12 nfs-server06:/MoviesShare /data
mount: /data: permission denied.

3. 非root身份添加CAP权限（失败） #

[podman-user@rack-host1~]$ podman run --cap-add=CAP_SYS_ADMIN -it myredhatimage:8 bash
[root@56e79e6f30cf /]# mkdir -p /data
[root@56e79e6f30cf /]# mount -vv -t nfs4 -o rw,relatime,vers=4.0,rsize=65536,wsize=65536,namlen=255,hard,proto=tcp,timeo=600,retrans=2,sec=sys,local_lock=none,addr=10.0.0.12 nfs-server06:/MoviesShare /data
mount: /data: permission denied.

4. 非root身份添加CAP权限并启用特权模式（失败） #

[podman-user@rack-host1~]$ podman run --privileged --cap-add=CAP_SYS_ADMIN -it myredhatimage:8 bash
[root@bc40b4065cf1 /]# mkdir -p /data
[root@bc40b4065cf1 /]# mount -vv -t nfs4 -o rw,relatime,vers=4.0,rsize=65536,wsize=65536,namlen=255,hard,proto=tcp,timeo=600,retrans=2,sec=sys,local_lock=none,addr=10.0.0.12 nfs-server06:/MoviesShare /data
mount: /data: permission denied.

环境信息 #

• Podman版本：5.0.0-dev-d08414686
• 系统：RHEL8.9
• 内核版本：4.18.0-513.9.1.el8_9.x86_64
• 容器引擎：runc
• NFS版本：4

Client:       Podman 
Engine Version:      5.0.0-dev-d08414686 
API Version:  5.0.0-dev-d08414686 
Go Version:   go1.20.10 
Built:        Mon Jan 22 16:32:20 2024 
OS/Arch:      linux/amd64

解决方案 #

方案1：使用Podman卷挂载NFS（推荐） #

非root用户直接在容器内执行mount会受限于用户命名空间权限，推荐通过Podman卷功能在主机侧完成NFS挂载，再映射到容器内：

# 创建NFS卷
podman volume create \
  --driver local \
  --opt type=nfs4 \
  --opt o=rw,relatime,vers=4.0,rsize=65536,wsize=65536,namlen=255,hard,proto=tcp,timeo=600,retrans=2,sec=sys,local_lock=none,addr=10.0.0.12 \
  --opt device=nfs-server06:/MoviesShare \
  nfs-movies-share

# 运行容器并挂载该卷
podman run -it -v nfs-movies-share:/data myredhatimage:8 bash

此方法无需在容器内执行挂载操作，由Podman直接管理卷的生命周期，避免容器内权限问题。

方案2：调整用户命名空间与权限配置 #

1. 确保非root用户拥有足够的用户命名空间映射范围，编辑/etc/subuid和/etc/subgid：

echo "podman-user:100000:65536" >> /etc/subuid
echo "podman-user:100000:65536" >> /etc/subgid

2. 确认NFS内核模块已加载：

modprobe nfs
modprobe nfsd

3. 运行容器时添加用户命名空间保持参数及必要权限：

podman run \
  --cap-add=CAP_SYS_ADMIN \
  --cap-add=CAP_DAC_OVERRIDE \
  --userns=keep-id \
  -it myredhatimage:8 bash

之后在容器内尝试执行NFS挂载命令。

方案3：调整SELinux策略 #

RHEL8默认启用SELinux，可能阻止非root用户的Podman操作，可先临时测试：

setenforce 0

若测试成功，添加永久SELinux规则：

semanage fcontext -a -t container_file_t "/data(/.*)?"
restorecon -Rv /data

问题原因说明 #

非root用户运行Podman时，容器内的root实际是主机普通用户通过用户命名空间映射而来的虚拟root，即使添加CAP_SYS_ADMIN权限，也无法获得主机内核级别的挂载权限，而NFS挂载需要主机侧的内核权限支持，这是直接在容器内挂载失败的核心原因。

内容的提问来源于stack exchange，提问作者Farfax