如何使用sudo podman运行当前用户镜像存储中的容器

注意：以下方案仅适用于本地开发场景，以root身份运行容器存在固有安全风险，生产环境请勿使用相关配置。

现存问题复盘 #

• 初始执行基础命令sudo podman run -it <image>时，因本地构建的镜像存储在当前用户的~/.local/share/containers/storage路径下，root上下文的podman无法识别到该镜像
• 尝试直接给root的podman指定用户存储路径时，触发libpod配置校验失败，报错信息为：

  Error: error creating libpod runtime: database libpod temporary files directory (tmpdir) "/run/user/1000/libpod/tmp" does not match our libpod temporary files directory (tmpdir) "/var/run/libpod": database configuration mismatch
  

• 补充指定--tmpdir、--runroot参数对齐用户路径后，虽可成功启动容器，但root身份运行产生的文件会残留到用户的存储路径、临时路径下，且这类文件仅root可访问，直接导致后续非sudo的podman命令因权限不足报错
• 当前临时方案为每次运行前手动完成镜像跨存储迁移：

  podman save <image> | sudo podman load
  sudo podman run <image>
  

  该方案操作冗余，会重复占用磁盘空间，使用体验较差。

问题根因 #

• 直接将root podman的--root参数指向用户存储路径时，podman会将该路径作为主存储目录，在路径下创建属于root的libpod元数据、状态数据库，这类root权限的文件会直接破坏普通用户对自身存储目录的读写权限
• 当--tmpdir、--runroot也指向用户专属的临时路径时，root运行产生的socket、临时运行时文件会进一步写入用户的临时目录，加重权限残留问题，导致普通用户podman完全无法正常启动。

无副作用的实现方案 #

采用podman内置的额外镜像存储能力实现，完全不侵入用户原有存储路径：

• 完全沿用root podman默认的存储、临时目录配置（即不修改默认的--root、--runroot、--tmpdir路径，保证所有root运行产生的文件都存在root专属的系统路径下）
• 仅通过--additional-image-store参数将当前用户的镜像存储路径作为镜像查找的补充源，podman会在该路径下只读查找镜像，不会写入任何状态文件
• 具体执行命令：

  sudo podman run -it <image> --additional-image-store /home/<username>/.local/share/containers/storage
  

• 方案优势：
  • 无权限残留：所有root运行产生的文件都存储在root专属的系统路径下，不会在用户的家目录、用户临时路径下生成任何root权限的文件，完全不影响普通用户podman的正常使用
  • 操作简便：不需要手动执行镜像导出、导入的冗余操作，直接复用用户存储中的本地构建镜像，无重复磁盘空间占用
  • 无侵入性：额外镜像存储路径为只读引用模式，podman不会修改用户存储路径下的任何原有文件，不会破坏用户原有podman环境的配置。

内容的提问来源于stack exchange，提问作者Adam