如何调试podman unshare命令及Podman权限问题？

问题重现 #

执行以下命令时出现权限错误：

podman unshare chown -R 1234:1234 /home/user/foo/bar; echo $?

输出：

chown: changing ownership of '/home/user/foo/bar': Operation not permitted
1

目标目录已设为0777权限，当前执行用户为user，父目录权限如下：

drwxr-xr-x root /home
drwxr-x--- user /home/user
drwxrwxrwx user /home/user/foo
drwxrwxrwx user /home/user/foo/bar

核心原因与调试步骤 #

1. 检查用户subuid/subgid配置 #

非特权Podman依赖/etc/subuid和/etc/subgid文件分配用户/组ID映射范围，若当前用户（user）没有配置足够的ID范围，会导致podman unshare无法操作目标UID/GID（1234:1234）。

执行以下命令查看配置：

cat /etc/subuid /etc/subgid

正常情况下，user用户应有类似如下的条目：

user:100000:65536
user:100000:65536

格式说明：用户名:起始UID:ID数量，表示该用户可使用从100000开始的65536个UID/GID。

2. 修复subuid/subgid配置 #

若user用户无上述条目，执行以下命令添加映射范围：

sudo usermod --add-subuids 100000-165535 --add-subgids 100000-165535 user

添加后需重新登录或刷新会话，使配置生效。

3. 验证Podman用户命名空间映射 #

执行以下命令进入podman unshare命名空间，查看UID映射规则：

podman unshare cat /proc/self/uid_map

输出示例：

0       1000          1
         1     100000      65536

此输出表示：

• 命名空间内的UID 0 对应主机的1000（即user用户的UID）
• 命名空间内的UID 1-65536 对应主机的100000-165535

需确认目标UID 1234 落在命名空间的可用UID范围内（如上例中的1-65536）。

4. 其他排查点 #

• 检查目录所在文件系统：若目录位于不支持权限修改的文件系统（如vfat），需切换到支持POSIX权限的文件系统（如ext4、xfs）。
• 清理冗余参数：确保命令中只使用一个-R参数，避免语法冗余。

验证修复 #

重新执行原命令：

podman unshare chown -R 1234:1234 /home/user/foo/bar

若配置正确，命令将无报错执行，返回值为0。

内容的提问来源于stack exchange，提问作者alexanderadam