26、Podman 容器安全与镜像签名全解析

Podman 容器安全与镜像签名全解析

1. 无 root 权限容器运行原理

在现代 Linux 发行版中， shadow-utils 包利用 /etc/subuid 和 /etc/subgid 两个文件来确定可用于映射用户命名空间的 UID 和 GID。每个用户默认分配 65536 个 UID 和 65536 个 GID。

我们可以通过以下命令检查无 root 权限容器中 subuid 和 subgid 的分配情况：

$ id
uid=1000(alex) gid=1000(alex) groups=1000(alex),10(wheel) 
$ podman run alpine cat /proc/self/uid_map /proc/self/gid_map

输出结果如下：

         0       1000          1
         1     100000      65536
         0       1000          1
         1     100000      65536

这表明两个文件都从当前运行容器的用户的 UID/GID（即 1000）开始映射 UID 和 GID 0。之后，从 100000 开始映射 UID 和 GID 1，直到 1655