Podman容器挂载主机目录时的权限异常问题求助

环境与问题背景 #

• 环境：Podman 4.2.0、AlmaLinux 8.7
• 基于redhat/ubi8构建镜像，Dockerfile内容：

FROM docker.io/redhat/ubi8
RUN dnf install -y gcc-c++ cmake python39 openssh git
RUN useradd -ms /bin/bash foobar -g users
USER foobar
WORKDIR /home/foobar/
RUN mkdir -p .ssh

• 构建命令：docker build -t mount_test_image .

操作步骤与异常现象 #

主机当前目录结构：

$ ls -l
-rw-r--r--. 1 host_user users   269 Dec  7 09:10 Dockerfile
drwxrwxr-x. 2 host_user users    18 Dec  2 10:41 ssh

执行挂载命令将主机ssh目录绑定到容器内/home/foobar/.ssh：

docker run -it -d --rm --mount type=bind,src=ssh,target=/home/foobar/.ssh --name=mount_test mount_test_image

进入容器后发现挂载目录属主为root:root，无法访问：

drwxrwxr-x. 2 root    root   18 Dec  2 18:41 .ssh
sh-4.4$ ls /home/foobar/.ssh
ls: cannot open directory '/home/foobar/.ssh': Permission denied

尝试将主机ssh目录权限改为容器用户UID（1000:100）后，容器内目录属主变为nobody:root，仍无法访问。主机用户UID:GID为501:100，需求是生成SSH密钥上传至Bitbucket。
补充：在ArchLinux使用Docker挂载时，容器内目录属主与主机一致，功能正常。

原因分析 #

这不是Podman的Bug，而是Podman与Docker的设计差异：

• Docker默认以root模式运行，绑定挂载时直接映射主机的UID/GID到容器内，权限表现与主机一致。
• Podman默认采用rootless模式运行，为了安全隔离，会启用用户命名空间重映射，主机用户的UID/GID会被映射到容器内的其他UID/GID范围，导致挂载目录的属主显示异常，权限不匹配。

解决方法 #

方法1：启动容器时添加--userns=keep-id参数 #

该参数会跳过用户命名空间重映射，让容器内当前用户的UID/GID与主机当前用户保持一致，直接解决权限匹配问题：

podman run -it -d --rm --userns=keep-id --mount type=bind,src=ssh,target=/home/foobar/.ssh --name=mount_test mount_test_image

执行后，容器内/home/foobar/.ssh目录的属主会与主机ssh目录一致，foobar用户可正常访问。

方法2：修改Dockerfile匹配主机用户UID/GID #

在创建容器用户时，直接指定主机用户的UID和GID，确保容器内用户与主机用户权限匹配：

FROM docker.io/redhat/ubi8
RUN dnf install -y gcc-c++ cmake python39 openssh git
# 对应主机用户UID=501，GID=100
RUN useradd -u 501 -g 100 -ms /bin/bash foobar
USER foobar
WORKDIR /home/foobar/
RUN mkdir -p .ssh

重新构建镜像后执行挂载命令，容器内目录权限会正常显示为foobar:users，可直接访问。

方法3：持久化配置Podman用户命名空间映射 #

通过配置文件将主机用户UID/GID映射到容器内foobar用户的UID/GID：

1. 编辑~/.config/containers/storage.conf，添加或修改以下内容：

[storage.options]
uidmap = "1000:501:1"  # 容器内UID 1000 映射到主机UID 501
gidmap = "100:100:1"   # 容器内GID 100 映射到主机GID 100

2. 重启Podman服务：systemctl --user restart podman
   之后启动容器时，挂载的目录会自动匹配容器内foobar用户的权限。

内容的提问来源于stack exchange，提问作者JayK