使用Compose注入Secret文件至Podman容器失败：UID/GID权限问题

问题重现 #

通过Podman Compose将本地SSH公钥作为Secret注入容器后，容器内文件权限异常无法访问；尝试在service的secrets配置中设置uid/gid/mode时，podman-compose提示不支持该字段。

测试用Compose片段 #

services:
  test-new_app:
    secrets:
      - source: id_rsa_pub
        target: /root/id_rsa.pub
...
secrets:
  id_rsa_pub:
    file: /home/refriedjello/.ssh/id_rsa.pub

容器内权限异常输出 #

app ~ # pwd
/root
app ~ # ls -altr | grep id_rsa.pub
ls: cannot access 'id_rsa.pub': Permission denied
-?????????? ? ?    ?       ?            ? id_rsa.pub

podman-compose警告信息 #

WARNING: Service "test-new_app" uses secret "/root/id_rsa.pub" with uid, gid, or mode. These fields are not supported by this implementation of the Compose file

当前环境：Podman 4.4.1

解决方案 #

方法1：容器启动时动态修正权限 #

在Compose文件中添加启动命令，先调整Secret文件的权限再执行原有业务逻辑：

services:
  test-new_app:
    secrets:
      - source: id_rsa_pub
        target: /root/id_rsa.pub
    # 替换为你的原有启动命令，比如原命令是"python app.py"
    command: sh -c "chown root:root /root/id_rsa.pub && chmod 600 /root/id_rsa.pub && python app.py"
...
secrets:
  id_rsa_pub:
    file: /home/refriedjello/.ssh/id_rsa.pub

如果容器使用entrypoint启动，可调整为：

entrypoint: ["sh", "-c", "chown root:root /root/id_rsa.pub && chmod 600 /root/id_rsa.pub && exec python app.py"]

注意：若容器默认以非root用户运行，需确保该用户有修改目标文件权限的权限，或先切换到root（需容器镜像允许）。

方法2：提前调整本地Secret文件的属主和权限 #

Podman挂载Secret时会继承本地文件的权限和属主信息，可先将本地文件的uid/gid调整为容器内对应用户的ID：

1. 查看容器内目标用户的uid/gid（以root为例）：

podman run --rm 你的镜像名称 id -u root
podman run --rm 你的镜像名称 id -g root

2. 调整本地文件的属主和权限：

sudo chown 0:0 /home/refriedjello/.ssh/id_rsa.pub
sudo chmod 600 /home/refriedjello/.ssh/id_rsa.pub

完成后重新启动podman-compose，容器内即可正常访问Secret文件。

原因说明 #

Podman Compose 4.4.1版本尚未完全兼容Compose规范中Secret的uid/gid/mode配置项，因此设置这些字段会触发警告且不生效。容器内文件权限异常是因为挂载时使用的属主/权限在容器内无对应用户，或权限配置不符合容器内访问要求。

内容的提问来源于stack exchange，提问作者refriedjello