PODMAN实战

第 1章Podman: 下一代容器引擎

1.1 术语说明

1.2 容器简介

1.2.1容器镜像：软件交付的新方式

1.2.2 容器镜像促进了微服务的发展

1.2.3 容器镜像格式

1.2.4 容器标准

1.3 有了Docker为什么还要使用Podman

1.3.1为什么只有一种方式运行容器

1.3.3 非特权容器

1.3.3 fork/exec模型

1.3.4 Podman是无守护进程的

1.3.5 用户友好的命令行

1.3.6 支持REST API

1.3.7 与systemd集成

1.3.8 Pods

1.3.9 自定义镜像仓库

1.3.10 支持多种传输方式

1.3.11 深度可定制性

1.3.12 支持用户命名空间

1.4 什么时候不使用Podman

1.5总结

第 2章 Podman命令行

2.1 使用容器工作

2.1.1 探索容器

2.1.2 运行容器化应用程序

2.1.3 停止容器

2.1.4 启动容器

2.1.5 列出容器

2.1.6 查看容器基础信息

2.1.7 删除容器

2.1.8 使用exec命令进入容器操作

2.1.9 从容器创建镜像

2.2 处理容器镜像

2.2.1 容器与镜像的区别

2.2.2 列出镜像

2.2.3 检查镜像

2.2.4 推送镜像

2.2.5 登录到容器镜像仓库

2.2.6 标记镜像

2.2.7 删除镜像

2.2.8 拉取镜像

2.2.9 搜索镜像

2.2.10 挂载镜像

2.3 构建镜像

2.3.1 Containerfile或Dockerfile的格式

2.3.2 自动化构建应用

2.4总结

第3章 卷

3.1 使用卷与容器

3.1.1 命名卷

3.1.2 卷挂载选项

3.1.3 podman run --mount命令选项

3.2 总结

第4章 Pod

4.1 运行Pod

4.2 创建Pod

4.3 向Pod中添加容器

4.4 启动Pod

4.5 停止Pod

4.7 删除Pod

4.8总结

第二部分 设计

第5章 自定义和配置文件

5.1 存储配置文件

5.1.1 存储位置

5.1.2 存储驱动

5.2 仓库的配置文件

5.3 引擎配置文件

5.4 系统配置文件

5.5总结

第6章 非特权容器

6.1 非特权Podman是如何工作的

6.2 非特权Podman技术内幕

6.2.1 拉取镜像

6.2.2 创建一个容器

6.2.3 配置容器网络

6.2.4 开始容器监控:conmon

6.2.5 启动OCI运行时

6.2.6 容器化应用程序运行直至结束

6.3总结

第7章 与systemd集成

7.1 在容器中运行systemd

7.1.1 容器化的systemd要求

7.1.2 systemd模式下的Podman容器

7.1.3 在systemd容器中运行Apache服务

7.2使用journald进行日志记录和事件处理

7.2.1 日志驱动程序

7.2.2 事件

7.3 在启动时启动容器

7.3.1 重启容器

7.3.2 使用Podman容器作为systemd服务

7.3.3 分发用于管理Podman容器的systemd单元文件

7.3.4 自动更新Podman容器

7.4 在通知单元文件中运行容器

7.5 更新后回滚失败的容器

7.6 套接字激活的Podman容器

7.7总结

第8章 与Kubernetes协同工作

8.1 Kubernetes YAML文件

8.2 用Podman生成Kubernetes YAML文件

8.3 从kubernetes YAML生成Podman Pod和容器

8.3.1 基于Kubernetes YAML文件关闭Pod和容器

8.3.2 使用Podman和Kubernetes YAML文件构建镜像

8.4 在容器内运行Podman

8.4.1 在Podman容器内运行Podman

8.4.2 在Kubernetes Pod中运行Podman

第9章 Podman作为服务

9.1 介绍Podman服务

9.1.1 systemd服务

9.2 Podman支持的API

9.3 与Podman交互的Python库

9.3.1 使用docker-py库与Podman API进行交互

9.3.2 使用podman-py与Podman API进行交互

9.3.3 应该使用哪个Python库

9.4 使用Podman服务与docker-compose

9.5 podman --remote

9.5.1 本地连接

9.5.2 远程连接

9.5.3 设置客户端机器上的SSH

9.5.4 配置连接

9.6总结

第 10章 安全容器隔离

10.1 只读的Linux内核伪文件系统

10.1.1 取消屏蔽的文件路径

10.2 linux capabilities

10.2.1 被删除的Linux capabilities

10.2.2 删除CAP_SYS_ADMIN

10.2.3 删除linux capabilities

10.2.4 添加Linux capabilities

10.2.5 无新特权

10.2.6 没有任何capabilities的root仍然危险

10.3 UID隔离：用户命名空间

10.3.1 使用--userns=auto参数标志隔离容器

10.3.2 用户命名空间的linux capabilities

10.3.3 使用--userns=auto标志的非特权（rootless）Podman

10.3.4 使用--userns=auto标志的用户卷（volumes）

10.4 进程隔离：PID命名空间

10.5 网络隔离：网络命名空间

10.6 IPC隔离：IPC namespace

10.7 文件系统隔离：挂载命名空间

10.8 文件系统隔离：SELinux

10.8.1 SELinux类型强制执行

10.8.2 SELinux多类别安全分离

10.9 系统调用隔离Seccomp

第 11章 其他安全注意事项

11.1 守护进程与fork/exec模型

11.1.1 访问docker.sock

11.1.2 审计和日志

11.2 Podman机密处理

11.3 Podman镜像信任

11.3.1 Podman镜像签名

11.4 Podman镜像扫描

11.4.1 只读容器

11.5 深度安全性

11.5.1 Podman同时使用所有安全机制

11.5.2 应该在哪里运行你的容器

11.6总结

附录A Podman相关容器工具

附录B OCI运行时

附录C获取Podman

附录D 贡献给 Podman

附录E Podman on Macos

附录F 在 Windows 上使用 Podman