Podman

01무엇이고, 어떤 일을 하나

• 이미지를 가져오고 컨테이너의 생성·실행·중지·제거를 관리한다.
• Pod 안의 여러 컨테이너를 연결하여 공유할 네임스페이스와 실행 경계를 구성한다.
• rootless 실행을 통해 사용자 권한 범위에서 컨테이너를 운영하는 방식을 제공한다.

02어떤 순서로 동작하나

1. 이미지와 설정 해석

   명령이 이미지 이름·태그·마운트·환경 변수·네트워크 옵션을 읽는다. 태그는 바뀔 수 있는 참조이므로 재현성이 필요하면 실제 이미지 식별자를 함께 기록한다.

2. 격리 환경 준비

   사용자 네임스페이스·마운트·네트워크 등 실행 조건을 준비한다. rootless에서는 호스트 UID 매핑과 사용자가 접근할 수 있는 경로의 제한이 적용된다.

3. OCI 런타임 실행

   OCI 호환 런타임을 통해 컨테이너 프로세스를 시작한다. Linux 컨테이너는 호스트 커널을 사용하며, 각 컨테이너마다 독립된 게스트 커널이 부팅되는 것은 아니다.

4. 상태와 저장소 관리

   컨테이너의 종료 상태·로그·마운트를 관찰한다. 컨테이너 제거와 외부 볼륨의 데이터 제거는 별개이며, Windows·macOS에서는 Linux 실행 환경과 원격 클라이언트 경계도 고려한다.

03먼저 알아둘 용어와 구성요소

OCI

컨테이너 이미지·실행 형식 등을 정의하는 표준화 체계이다. 동일 표준 지원과 모든 관리 옵션 호환은 다르다.

Rootless

호스트의 일반 사용자 권한 범위에서 컨테이너를 실행하는 방식이다. 컨테이너 내부 UID 0이 호스트 root와 동일한 권한이라는 뜻은 아니다.

Daemonless

일상적인 로컬 컨테이너 관리에 중앙의 상시 엔진 데몬을 반드시 거치지 않는 구조이다. API 서비스나 보조 프로세스가 전혀 없다는 뜻은 아니다.

Pod

여러 컨테이너를 묶어 일부 네임스페이스 등 실행 자원을 공유하게 하는 관리 단위이다.

OCI 런타임

준비된 명세에 따라 격리된 프로세스를 생성·실행하는 하위 구성요소이다.

볼륨

컨테이너의 쓰기 계층 수명과 분리하여 데이터를 유지하는 저장 영역이다.

04예제로 따라가기

• podman ps는 실행 중인 컨테이너를 관찰하는 명령이다. 일반 사용자와 root로 실행하면 서로 다른 저장소·컨테이너 목록을 볼 수 있다.
• rootless 컨테이너에 호스트 디렉터리를 연결했는데 쓰기가 거부되면 UID 매핑·호스트 권한·SELinux 레이블을 함께 구분한다.
• 웹 컨테이너를 제거하고 새 이미지로 다시 만들더라도 외부 볼륨에 둔 데이터는 별도 관리 정책에 따라 남을 수 있다.

05혼동하기 쉬운 점과 확인 기준

• docker 명령을 podman으로 바꿔 호출할 수 있다는 사실을 네트워크·API·Compose·권한의 완전한 동일성으로 확대하지 않는다.
• Rootless는 권한 범위를 줄이는 구성이지 파일 유출이나 잘못된 마운트를 자동으로 막는 보장은 아니다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.