Docker oder Podman: Daemon, rootless und Lizenzfragen

# Was läuft, mit welchen Ports
docker ps --format '{{.Names}}\t{{.Image}}\t{{.Ports}}'

# Wer läuft privilegiert oder mit Zusatz-Capabilities?
docker inspect $(docker ps -q) \
  --format '{{.Name}} priv={{.HostConfig.Privileged}} caps={{.HostConfig.CapAdd}}'

# Wer bekommt den Docker-Socket eingehängt? Das ist der harte Fall.
docker inspect $(docker ps -q) \
  --format '{{.Name}} {{range .Mounts}}{{.Source}} {{end}}' | grep docker.sock

# Welche Netzwerke und Volumes hängen dran?
docker network ls && docker volume ls

# RHEL, Rocky, AlmaLinux
sudo dnf install -y podman podman-docker skopeo

# Debian, Ubuntu
sudo apt install -y podman podman-docker skopeo

# podman-docker legt /usr/bin/docker als Wrapper an: bestehende Skripte
# und Ansible-Rollen laufen weiter, ohne dass du sie sofort umschreibst.

# Image direkt aus der lokalen Docker-Ablage übernehmen
podman pull docker-daemon:meinimage:1.4

# Gleiches Ergebnis, explizit über skopeo
skopeo copy docker-daemon:meinimage:1.4 containers-storage:localhost/meinimage:1.4

# Bereich für die UID-Abbildung prüfen, ohne ihn ist rootless nicht möglich
grep "^$USER:" /etc/subuid /etc/subgid

# Fehlt der Eintrag:
sudo usermod --add-subuids 200000-265535 --add-subgids 200000-265535 "$USER"
podman system migrate      # nach jeder Änderung an subuid/subgid nötig

# Dienste sollen ohne angemeldete Sitzung weiterlaufen
sudo loginctl enable-linger "$USER"

# Gegenprobe
podman info --format '{{.Host.Security.Rootless}} {{.Host.IDMappings.UIDMap}}'

# 1. Privilegierte Ports dauerhaft freigeben
echo 'net.ipv4.ip_unprivileged_port_start=80' | sudo tee /etc/sysctl.d/99-podman.conf
sudo sysctl --system

# 2. Volumes: die UID 1000 im Container ist nicht deine UID 1000
# Variante A: Besitzverhältnisse im User-Namespace anpassen
podman unshare chown -R 1000:1000 ./daten

# Variante B, statt A und nicht zusätzlich: eigene UID in den Container abbilden
podman run -d --userns=keep-id -v ./daten:/daten:Z registry.firma.de/app:1.4

# 3. Wer lauscht wirklich, und über welchen Netzwerk-Stack?
ss -tulpn | grep -E 'rootlessport|pasta|slirp'

# Podman-Socket als Benutzerdienst starten
systemctl --user enable --now podman.socket
systemctl --user status podman.socket

# Das originale docker compose spricht damit direkt Podman an
export DOCKER_HOST="unix://$XDG_RUNTIME_DIR/podman/podman.sock"
docker compose up -d

# Gegenprobe: die Container liegen jetzt in der Podman-Ablage
podman ps

[Unit]
Description=Anwendungscontainer

[Container]
Image=registry.firma.de/app:1.4
PublishPort=8080:8080
Volume=%h/daten:/daten:Z
Environment=TZ=Europe/Berlin
HealthCmd=/usr/bin/curl -fsS http://localhost:8080/health
Notify=healthy
AutoUpdate=registry

[Service]
Restart=always

[Install]
WantedBy=default.target

systemctl --user daemon-reload      # erzeugt app.service aus app.container
systemctl --user start app
systemctl --user status app
journalctl --user -u app -f

# Automatische Aktualisierung der Images
systemctl --user enable --now podman-auto-update.timer
podman auto-update --dry-run