Docker run与Podman run差异：树莓派GPIO容器运行异常排查

问题背景 #

我基于以下Dockerfile构建了用于树莓派控制LED灯带的容器镜像：

FROM node:18.6.0-alpine3.15
RUN apk --no-cache add --virtual .builds-deps build-base python3 python3-dev py3-pip && \
    echo "echo http://dl-cdn.alpinelinux.org/alpine/latest-stable/main" >> /etc/apk/repositories && \
    echo "http://dl-cdn.alpinelinux.org/alpine/latest-stable/community" >> /etc/apk/repositories && \
    apk update && apk upgrade && \
    apk add linux-headers && \
    pip3 install --upgrade pip
RUN pip3 install RPi.GPIO rpi_ws281x adafruit-circuitpython-neopixel
WORKDIR /usr/src/app
COPY . .
RUN npm install && mkdir -p backend/images
EXPOSE 3000
CMD [ "node", "server.js" ]

使用Docker执行以下命令可以正常运行：

docker run --rm --name cm_back_test --privileged -e CM_USER=superuser -e CM_PASSWORD=superuser -e CM_CLUSTER=cluster.xxxx.mongodb.net cm-back:1.0.0

但换成Podman执行完全相同的命令时，无法正常控制GPIO设备，求原因解析及解决办法。

核心差异原因 #

Podman和Docker对--privileged参数的实现、默认安全策略存在本质差异，导致在树莓派GPIO场景下表现不同：

• 设备挂载逻辑不同：Docker的--privileged会自动映射主机几乎所有/dev下的设备节点，包括树莓派的/dev/gpiomem、/dev/mem等GPIO关键设备；而Podman的--privileged默认不会完全挂载这些硬件相关节点，容器内无法访问到GPIO对应的设备文件。
• 用户命名空间隔离：Podman默认启用用户命名空间隔离，容器内的root用户与主机root属于不同权限空间，即使加了--privileged，也会因为命名空间隔离无法直接操作主机硬件；Docker在多数树莓派默认配置下未启用该隔离，容器root直接拥有主机root权限。
• SELinux策略限制：若树莓派开启了SELinux，Podman默认会严格应用SELinux规则，--privileged参数不会绕过所有SELinux限制，可能阻止容器访问GPIO设备；而Docker在很多树莓派环境中默认放松了SELinux约束。

可行解决办法 #

根据上述差异，可通过以下方式让Podman正常运行该镜像：

1. 显式挂载GPIO设备节点
   无需依赖--privileged，直接挂载所需的GPIO相关设备，最小化权限授予：

   podman run --rm --name cm_back_test -v /dev/gpiomem:/dev/gpiomem -v /dev/mem:/dev/mem -e CM_USER=superuser -e CM_PASSWORD=superuser -e CM_CLUSTER=cluster.xxxx.mongodb.net cm-back:1.0.0
   

2. 结合--privileged与--userns=host
   关闭用户命名空间隔离，让容器共享主机的用户权限空间，配合--privileged获取完整硬件访问权限：

   podman run --rm --name cm_back_test --privileged --userns=host -e CM_USER=superuser -e CM_PASSWORD=superuser -e CM_CLUSTER=cluster.xxxx.mongodb.net cm-back:1.0.0
   

3. 临时关闭SELinux验证（若适用）
   如果怀疑是SELinux导致，可临时执行sudo setenforce 0关闭SELinux，再运行Podman命令验证。若问题解决，可通过添加SELinux自定义规则来长期允许容器访问GPIO设备，避免全局关闭SELinux。

内容的提问来源于stack exchange，提问作者user11115384