非特权模式下Rootless Podman+Docker Compose+Traefik权限问题

问题概述 #

尝试通过Podman Socket在非特权模式下结合Rootless Podman、Docker Compose与Traefik实现流量代理，目前遇到权限拒绝错误，仅特权容器可正常运行，需非特权解决方案。

环境配置 #

• 运行系统：RHEL 8.6
• 已预安装Podman，添加独立版Docker Compose及podman-docker工具
• 已启用Rootless Podman Socket并配置DOCKER_HOST环境变量
• 已切换网络后端为netavark以解决DNS问题

问题详情 #

• 初始使用含$UID变量的Compose配置时，因变量未被识别导致目录创建权限拒绝
• 硬编码UID为1001后，Traefik容器连接/var/run/docker.sock仍报权限拒绝
• 仅设置privileged: true可解决问题，但出于安全考虑不希望使用特权容器

解决方案与疑问解答 #

1. 非特权模式下让Traefik容器正常工作的方法 #

• 修正Socket映射路径：Rootless Podman的Socket并非系统级的/var/run/docker.sock，而是用户目录下的$XDG_RUNTIME_DIR/podman/podman.sock（通常为/run/user/1001/podman/podman.sock）。在Compose配置中需映射此路径，而非系统级Socket。示例：

  volumes:
    - "/run/user/1001/podman/podman.sock:/var/run/docker.sock:ro"
  

• 匹配容器运行用户权限：Rootless Podman Socket的所有者为当前非特权用户（UID 1001），在Compose中指定容器运行用户为宿主用户：

  user: "1001:1001"
  

  若需动态获取UID/GID，可在运行Compose时传入变量：

  UID=$(id -u) GID=$(id -g) docker-compose up -d
  

  并在Compose中使用：

  user: "${UID}:${GID}"
  

• 适配Traefik Provider配置：在Traefik的Docker Provider配置中，确保Endpoint指向容器内映射的Socket路径：

  providers:
    docker:
      endpoint: "unix:///var/run/docker.sock"
      exposedByDefault: false
  

2. 验证Rootless Podman Socket是否正常运行 #

• 查看Socket服务状态：

  systemctl --user status podman.socket
  

  确认状态为active (listening)则服务正常。
• 测试Socket连接：

  podman --remote info
  # 或使用podman-docker兼容命令
  docker info
  

  能正常返回Podman系统信息则Socket连接正常。
• 检查Socket文件存在性与权限：

  ls -l $XDG_RUNTIME_DIR/podman/podman.sock
  

  确认文件存在，且所有者为当前非特权用户。

3. Rootless Podman Socket配置官方文档与当前配置正确性 #

• 官方文档位置：Rootless Podman的Socket配置可参考Podman官方文档的Rootless模式章节，以及RHEL官方文档中关于Podman的配置说明。
• 当前配置正确性：使用systemctl --user enable podman.socket是Rootless模式下启用Podman Socket的正确方式——Rootless Podman以用户级服务运行，而非系统级服务，因此需使用--user参数操作用户专属的systemd实例。额外需确保DOCKER_HOST环境变量正确设置：

  export DOCKER_HOST=unix://$XDG_RUNTIME_DIR/podman/podman.sock
  

  可将此命令添加至用户的~/.bashrc或~/.zshrc文件中，实现终端会话自动加载。

内容的提问来源于stack exchange，提问作者Janne Mattila