Podman是RHEL8中的默認容器管理工具，以下以fedora系統為平臺介紹用于保護Podman容器的內容：確定Podman容器的特權模式及Capabilities。

確定Podman容器的特權模式

容器以特權或非特權模式運行。在特權模式下，容器uid 0映射到主機的uid0。在某些情況下，非特權容器缺乏對主機資源的足夠訪問權限。包括強制性訪問控制（apparmor、SELinux），seccomp過濾器、功能下降和名稱空間在內的技術都可以幫助保護容器，無論其操作方式如何。

要從容器外部確定特權模式：

$ podman inspect --format="{{.HostConfig.Privileged}}"

如果以上命令返回true，則容器以特權模式運行。如果返回false，則表明容器以非特權模式運行。

要從容器內部確定特權模式：

$ ip link add dummy0 type dummy

如果此命令允許您創建接口，那么您正在運行特權容器。否則，您將運行非特權容器。

Capabilities

命名空間將容器的進程與對主機資源的任意訪問以及對在同一主機上運行的其他容器的資源的訪問隔離。但是，特權容器中的進程仍然可以執行諸如更改IP路由表、跟蹤任意進程以及加載內核模塊之類的操作。通過Capabilities，可以對容器中的進程可以訪問或更改的資源應用更精細的限制。即使容器以特權模式運行。Capabilities還允許人們將特權分配給原本不會擁有的非特權容器。

例如，要將NET_ADMIN功能添加到非特權容器中，以便可以在容器內部創建網絡接口，則可以使用類似于以下參數的參數運行podman：

[root@vm1 ~]# podman run -it --cap-add=NET_ADMIN centos
[root@b27fea33ccf1 /]# ip link add dummy0 type dummy
[root@b27fea33ccf1 /]# ip link

上面的命令演示了在非特權容器中創建的dummy0接口。如果沒有NET_ADMIN功能，則沒有特權的容器將無法創建接口。上面的命令演示了如何向未特權的容器授予Capabilities。

當前，大約有39種Capabilities可以被授予或拒絕。默認情況下，特權容器被授予許多功能。建議從特權容器中刪除不需要的功能，以使其更加安全。

要刪除容器中的所有Capabilities：

$ podman run -it -d --name mycontainer --cap-drop=all centos

列出容器的Capabilities：

$ podman exec -it 48f11d9fa512 capsh --print

上面的命令應顯示沒有任何Capabilities授予該容器。

有關Capabilities的完整列表，請參見功能手冊頁：

$ man capabilities

使用capsh命令列出您當前擁有的Capabilities：

$ capsh --print

作為另一個示例，下面的命令演示了如何從容器中刪除NET_RAW功能。如果沒有NET_RAW功能，則無法從容器內部ping Internet上的服務器：

$ podman run -it --name mycontainer1 --cap-drop=net_raw centos
>>> ping google.com (will output error, operATIon not permitted)

作為最后一個示例，如果您的容器僅需要SETUID和SETGID Capabilities，則可以通過刪除所有Capabilities，然后僅重新添加這兩個Capabilities來獲得這樣的權限集：

$ podman run -d --cap-drop=all --cap-add=setuid --cap-add=setgid fedora sleep 5 > /dev/null; pscap | grep sleep

上面顯示的pscap命令應顯示已授予容器的Capabilities。