🐳 Podman & LXD – Conteneurs (Rootless & Système)

Comment ça marche ? (User Namespaces)

Podman utilise les User Namespaces du noyau Linux. Cela permet à un processus (le conteneur) de *penser* qu'il s'exécute en tant que root (UID 0) *à l'intérieur* du conteneur, alors qu'il s'exécute en tant qu'utilisateur normal *à l'extérieur* (sur l'hôte).

C'est un "mapping" d'ID.

Exemple de Mapping (/etc/subuid)

ideo_user:100000:65536

(L'hôte donne 65536 IDs à ideo_user, commençant à 100000).

(À l'intérieur du conteneur)
Utilisateur | UID
------------|----
root        | 0
www-data    | 33

   (Mapping)
   |
   ▼
(Sur le serveur Hôte)
Utilisateur | UID
------------|----
ideo_user   | 100000  (Mappé à 'root')
ideo_user   | 100033  (Mappé à 'www-data')

Si le conteneur est compromis (en tant que root), l'attaquant n'est que ideo_user (UID 100000) sur l'hôte, sans aucun privilège.

Pods (Kubernetes)

Podman apporte le concept de "Pod" (de Kubernetes) directement, sans docker compose.

Un Pod est un groupe de conteneurs qui partagent le **même espace réseau** (la même IP, localhost) et les mêmes volumes (optionnel).

Cas d'usage : Une application (ex: WordPress) et son "sidecar" (ex: un exporteur de métriques).

Exemple (App + Sidecar)

# 1. Créer un pod (il crée un conteneur 'infra' pause)
podman pod create --name mon-app-pod -p 8080:80

# 2. Lancer l'app DANS le pod
podman run -d --pod mon-app-pod --name mon-app nginx

# 3. Lancer le sidecar DANS le pod
# (Il peut 'curl localhost:80' pour parler à nginx)
podman run -d --pod mon-app-pod --name mon-sidecar alpine ...

# 4. Lister les pods et les conteneurs
podman pod ps
podman ps -a --pod

podman-compose

podman-compose est un script Python tiers (pas de Red Hat) qui implémente l'API docker-compose en utilisant podman en backend.

Installation

# (Via pip)
pip install podman-compose

# (Ou via dnf/apt)
sudo dnf install podman-compose

Utilisation

Il utilise exactement les mêmes fichiers docker-compose.yml.

# (Au lieu de 'docker compose up')
podman-compose up -d

podman-compose down

podman-compose logs

Note : podman-compose crée un "Pod" pour chaque docker-compose.yml.

Conteneurs Système (LXC)

LXD n'est PAS un concurrent de Docker/Podman. Il ne gère pas le même *type* de conteneur.

LXD est un "hyperviseur" de conteneurs (basé sur LXC) qui lance des **Conteneurs Système**.

Conteneur d'Application (Docker/Podman)

• But : Lancer UN SEUL processus (ex: nginx, python app.py).
• Contenu : Minimaliste (juste l'app et ses libs).
• PID 1 : L'application.
• Analogie : Un "exécutable" portable.

Conteneur Système (LXD)

• But : Lancer un **OS complet** (ex: Ubuntu 22.04).
• Contenu : Complet (systemd, sshd, cron, apt...).
• PID 1 : /sbin/init (systemd).
• Analogie : Une **VM ultra-légère** (démarre en 1s, utilise 20Mo de RAM).

Cas d'usage LXD

Idéal pour les développeurs ou admins qui veulent isoler des environnements complets (ex: un serveur de staging, un lab de test) sans la lourdeur des VMs.

1. Installation (snap)

LXD (par Canonical) est distribué via snap.

# (Installer snapd si absent)
sudo apt install snapd

# Installer LXD
sudo snap install lxd

2. Initialisation (lxd init)

lxd init est l'assistant de configuration. Pour une utilisation locale, les défauts sont souvent suffisants.

sudo lxd init

# (Accepter les défauts, sauf pour :)

# -> Create a new storage pool? (yes)
# -> Name of the new storage pool: default
# -> What backend to use (zfs, btrfs, dir)? dir
# (Choisir 'dir' si vous n'avez pas ZFS/BTRFS)

Lancer & Lister

# (Ajouter l'utilisateur au groupe lxd)
sudo usermod -aG lxd $USER
newgrp lxd

# Lancer un conteneur Ubuntu 22.04
lxc launch images:ubuntu/22.04 mon-ubuntu

# Lister les conteneurs
lxc list
+-----------+---------+-------------------+
| NAME      | STATE   | IPV4              |
+-----------+---------+-------------------+
| mon-ubuntu| RUNNING | 10.x.x.x (eth0)   |
+-----------+---------+-------------------+

Interagir

# Obtenir un shell (root) dans le conteneur
lxc exec mon-ubuntu -- /bin/bash

# (Dans le conteneur)
root@mon-ubuntu:~# apt update
root@mon-ubuntu:~# systemctl status

# Copier des fichiers (Hôte -> Conteneur)
lxc file push ./mon_fichier.txt mon-ubuntu/root/

# Copier (Conteneur -> Hôte)
lxc file pull mon-ubuntu/root/test.txt .

# Arrêter / Supprimer
lxc stop mon-ubuntu
lxc delete mon-ubuntu

Commandes (alias docker=podman)

# (Toutes les commandes Docker marchent...)
podman run -d --name web -p 8080:80 nginx
podman ps
podman images
podman build -t mon-app .
podman stop web
podman rm web
podman exec -it web /bin/bash
podman logs -f web
podman system prune

Commandes (Spécifiques Podman)

# --- Pods ---
podman pod create --name mon-pod -p 80:80
podman pod ps
podman pod list
podman run -d --pod mon-pod nginx
podman pod stop mon-pod
podman pod rm mon-pod

# --- Systemd ---
podman generate systemd --name web --files
# (Crée container-web.service)

# --- Compose ---
podman-compose up -d
podman-compose down