Fedora中使用Podman转发SSH Agent至容器的权限问题排查

核心差异：Podman vs Docker 的用户命名空间与权限处理 #

Podman 默认启用用户命名空间隔离，这是它和 Docker 在权限处理上的核心区别——主机用户会被映射到容器内的非对应UID，导致挂载的SSH_AUTH_SOCK权限不匹配；而 Docker 默认的用户命名空间策略更宽松，容易绕过这类问题。以下是针对性的排查和解决步骤：

1. 优先使用 Podman 原生 SSH Agent 挂载（最可靠方案） #

Podman 内置了专门的--ssh参数，无需手动挂载 socket 和传递环境变量，会自动处理权限、SELinux 上下文和用户映射问题：

podman run --rm -it --ssh default your-image

执行此命令后，容器内可直接使用主机的 SSH Agent，无需额外配置SSH_AUTH_SOCK。

2. 手动挂载时解决用户命名空间权限问题 #

若必须手动挂载 socket，需先处理 Podman 的用户映射导致的权限不匹配：

• 临时禁用用户命名空间：让容器内 UID 与主机完全一致，避免权限错位：

  podman run --rm -it --userns=host -v $SSH_AUTH_SOCK:$SSH_AUTH_SOCK -e SSH_AUTH_SOCK your-image
  

• 匹配容器与主机 UID：在 Dockerfile 中创建与主机用户 UID 一致的普通用户，确保权限对齐：

  # 假设主机用户 UID 是 1000
  RUN useradd -u 1000 appuser
  USER appuser
  

  运行容器时挂载并添加 SELinux 共享标记：

  podman run --rm -it -u 1000:1000 -v $SSH_AUTH_SOCK:$SSH_AUTH_SOCK:z -e SSH_AUTH_SOCK your-image
  

3. 排查 SELinux 上下文细节 #

即使主机SSH_AUTH_SOCK上下文正常，Podman 挂载时可能需要显式指定上下文：

• 临时调整主机 socket 的 SELinux 上下文：

  chcon -Rt container_file_t $SSH_AUTH_SOCK
  

• 挂载时添加z标记（共享上下文）：

  podman run --rm -it -v $SSH_AUTH_SOCK:$SSH_AUTH_SOCK:z -e SSH_AUTH_SOCK your-image
  

4. 验证容器内 Agent 连通性 #

进入容器后执行以下命令排查：

# 查看 socket 权限
ls -l $SSH_AUTH_SOCK
# 测试 Agent 连接
ssh-add -l

若显示权限为 root，说明用户命名空间映射导致权限错位，使用--userns=host即可解决。

内容的提问来源于stack exchange，提问作者dacucar