Контейнеры
Podman: контейнеры без демона
Podman — это контейнерный движок Red Hat, созданный на основе отсутствия демонов в ответ на самую большую архитектурную слабость Docker: контейнеры запускаются как дочерние элементы вызывающего процесса, по умолчанию не имеют root-прав, с Docker-совместимым CLI, поэтому существующие рабочие процессы в основном сохраняются. Это контейнерный движок по умолчанию в системах семейства RHEL и честный ответ 2026 года для хостов, где важна граница безопасности.
Главное
- Архитектура представляет собой fork-exec, а не демон: каждый контейнер является дочерним процессом команды podman (контейнеры/хранилище разделены на библиотеки), что удаляет единственный привилегированный прослушиватель демона Docker и поверхность атаки с использованием совместного использования сокетов; сбойный CLI никогда не забирает с собой контейнеры.
- Без рута по умолчанию: непривилегированные пользователи запускают реальные рабочие нагрузки через пространства имен пользователей (сопоставление имен пользователей с диапазонами UID на хосте), что превращает вопросы об уходе из контейнера в обычные вопросы о разрешениях файлов; торговля - это нюансы хранилища/драйвера (класс Fuse-overlayfs) и ограничения портов ниже 1024 без настроек.
- Совместимость с Docker — это путь миграции: CLI в основном является встраиваемым (запуск, сборка, компоновка с помощью плагинов podman-compose или Compose), существует эмуляция docker.sock для инструментов, которые настаивают, и изображения отправляются/извлекаются из одних и тех же реестров; Системы CI и инструменты, предназначенные для докера, обычно остаются неизменными.
- Поды и инфра-контейнеры: podman группирует контейнеры в поды (общее сетевое пространство имен), в котором проявляется ДНК Kubernetes (podman хорошо работает с kube YAML для локальной разработки через podman play kube); небольшие поместья получают группировку в форме оркестратора без операций оркестратора.
- Интеграция с Systemd — это тихая суперсила: квадлеты (генераторы systemd для контейнеров) выражают «этот контейнер — это служба» с помощью политик перезапуска, активации сокетов и зависимостей, заменяя беспорядок пользовательских файлов модулей, которые всегда создавали необработанные развертывания Docker; для серверов, работающих на systemd, это самый чистый ответ в этой категории.
- Честные ограничения: вес экосистемы (документы, сторонние инструменты, учебные пособия) по-прежнему опирается на Docker, некоторые инструменты предполагают пути docker.sock, а рабочие столы Mac/Windows запускаются внутри виртуальной машины (так же, как модель Docker Desktop); на серверах Linux этот разрыв в основном культурный, а не технический.
Заметка из практики
Защищенный общий хост клиента запускал Docker с инструментами управления, привязанными к сокетам; мы перенесли рабочие нагрузки на podman без root за медленную неделю. Последовавшая за этим проверка безопасности была самой короткой за всю историю, и команда разработчиков заметила только квадлеты systemd, которые им понравились больше, чем старые юнит-файлы.
Частые вопросы
Могу ли я просто использовать псевдоним Docker для podman?
В основном да: поверхность CLI и реестры совместимы, а псевдонимы охватывают мышечную память; крайние случаи существуют в инструментах, зависящих от docker.sock, и в некоторых менее распространенных флагах, для чего существуют пробелы в эмуляции docker.sock и документации.
Является ли rootless действительно победой в области безопасности?
Да: процессы контейнера находятся под непривилегированным пользователем хоста с сопоставлением пространства имен пользователя, поэтому даже полный выход из контейнера останавливается при обычных разрешениях Unix, а не достигает поверхностей демона корневого уровня; он удаляет весь класс угроз привилегированного демона.
Что заменяет файлы docker-compose?
podman-compose или плагин Compose в широком смысле запускают один и тот же YAML-файл Compose; для серверов с нативной системой systemd квадлеты лучше выражают семантику обслуживания, поэтому выбирайте Compose Parity для проверки четности и квадлеты для модулей Prod.
Когда Docker все еще лучший выбор?
Когда в вашем комплексе стандартизированы инструменты экосистемы Docker (средства запуска CI, реестры с политиками, инструменты графического процессора), а модель угроз демона уже смягчена; оба движка сосуществуют, выбирая по хосту, а не по кампании.
Как мы берём на себя контейнеры
Мы разбирались с этим сотни раз: Управление, оркестрация и безопасность контейнеров в производственной среде. С услугой Администрирование серверов и Безопасность серверов Linux вы получаете полный цикл: мы оцениваем, внедряем, следим круглосуточно и подключаемся в течение 30 минут, когда это действительно нужно.