无root权限运行Podman时如何在容器内挂载squashfs文件

以下两种方案均不需要宿主机root权限，可直接用普通用户身份操作：

方案1：宿主机预挂载后绑定挂载（推荐，无额外权限风险） #

该方案利用用户态squashfuse工具先在宿主机完成挂载，再将挂载目录绑定到容器内，兼容性最好、安全性最高。

• 第一步：宿主机安装squashfuse依赖
  不同发行版安装命令参考：
  • Debian/Ubuntu 系：sudo apt install squashfuse
  • RHEL/Fedora/CentOS 系：sudo dnf install squashfuse
• 第二步：宿主机创建临时挂载点并挂载squashfs文件

  # 创建挂载目录
  mkdir -p ~/squash_temp_mount
  # 执行挂载，普通用户可直接执行，不需要加sudo
  squashfuse /path/to/your/target.squashfs ~/squash_temp_mount
  

• 第三步：启动容器时绑定挂载目录
  示例命令如下，:ro表示只读挂载，符合squashfs只读特性，可按需调整：

  podman run -v ~/squash_temp_mount:/container/internal/path:ro <你的容器镜像名>
  

• 用完后卸载宿主机挂载：fusermount -u ~/squash_temp_mount

方案2：容器内部直接挂载 #

如果业务需要在容器内自主控制挂载逻辑，可采用该方案，注意会降低容器安全隔离等级。

• 前置要求：宿主机和容器镜像都需要预装squashfuse工具
• 启动容器时添加fuse设备和必要权限：

  podman run \
    --device /dev/fuse \
    --cap-add SYS_ADMIN \
    --security-opt label=disable \
    -v /path/to/your/target.squashfs:/opt/target.squashfs:ro \
    <你的容器镜像名>
  

• 进入容器后执行挂载：squashfuse /opt/target.squashfs /container/internal/path
• 容器内卸载命令：fusermount -u /container/internal/path

注意：方案2为容器开放了SYS_ADMIN权限，仅建议在容器内运行的程序完全可信的场景下使用。

内容的提问来源于stack exchange，提问作者Erik Sjölund