HDValentin: mit unterstützung einer Ki erstellt. Kann Fehler enthalten

2026-09-18T17:09:22Z

mit unterstützung einer Ki erstellt. Kann Fehler enthalten

Neue Seite

= Podman rootless mit SELinux einrichten =

== 1. Podman installieren ==

'''openSUSE:'''

<pre>
sudo zypper install podman
</pre>

'''Debian/Ubuntu:'''

<pre>
sudo apt install podman
</pre>

== 2. Benutzer anlegen ==

<pre>
sudo useradd -m -s /bin/bash podsvc
sudo passwd -l podsvc
</pre>

== 3. Sub-UID/GID prüfen ==

<pre>
grep podsvc /etc/subuid /etc/subgid
</pre>

Falls keine Einträge vorhanden sind:

<pre>
echo "podsvc:100000:65536" | sudo tee -a /etc/subuid
echo "podsvc:100000:65536" | sudo tee -a /etc/subgid
</pre>

== 4. Rootless Podman testen ==

<pre>
sudo -iu podsvc
podman run --rm docker.io/library/alpine id
podman info --format '{{.Host.Security.Rootless}}'
</pre>

Erwartet:

<pre>
true
</pre>

== 5. Autostart ohne Benutzeranmeldung ==

<pre>
sudo loginctl enable-linger podsvc
</pre>

== 6. SELinux für eigenes Podman-Storage ==

Beispiel: Podman-Daten liegen unter <code>/local/podman</code>.

<pre>
sudo semanage fcontext -a -t container_var_lib_t '/local/podman(/.*)?'
sudo restorecon -Rv /local/podman
</pre>

Prüfen:

<pre>
ls -Zd /local/podman
</pre>

Das Verzeichnis sollte mit <code>container_var_lib_t</code> gelabelt sein.

== 7. SELinux bei Bind-Mounts ==

Persistente Verzeichnisse mit <code>:Z</code> einbinden:

<pre>
volumes:
- /local/git/forgejo/data:/var/lib/gitea:Z
</pre>

* <code>:Z</code> = exklusiv für einen Container
* <code>:z</code> = von mehreren Containern gemeinsam verwendet

== 8. Betrieb ==

Container immer als <code>podsvc</code> verwalten:

<pre>
sudo -iu podsvc
podman ps
</pre>

'''Nicht:'''

<pre>
sudo podman ...
</pre>

<code>sudo podman</code> verwendet die Podman-Umgebung von <code>root</code>.

== 9. SELinux prüfen ==

<pre>
getenforce
</pre>

Sollte anzeigen:

<pre>
Enforcing
</pre>

Bei Zugriffsproblemen:

<pre>
sudo ausearch -m AVC -ts recent
</pre>

'''SELinux nicht deaktivieren.''' Zuerst Dateirechte und SELinux-Labels prüfen.

Wissen/Podman - Versionsgeschichte

HDValentin: mit unterstützung einer Ki erstellt. Kann Fehler enthalten