# 查看当前用户的 UID 映射
podman unshare cat /proc/self/uid_map
#          0       1000          1
#          1     100000      65535

# 查看 GID 映射
podman unshare cat /proc/self/gid_map
#          0       1000          1
#          1     100000      65535

# 进入用户命名空间的 Shell
podman unshare bash

# 在命名空间内查看身份
id
# uid=0(root) gid=0(root)
# 注意：这是命名空间内的虚拟 root，宿主机上仍是 uid=1000

# 退出
exit

# /etc/subuid — 用户级子 UID 范围
# 格式: 用户名:起始UID:数量
alice:100000:65536
bob:200000:65536

# /etc/subgid — 用户级子 GID 范围
# 格式: 用户名:起始GID:数量
alice:100000:65536
bob:200000:65536

# 查看当前用户的映射
grep $(whoami) /etc/subuid
grep $(whoami) /etc/subgid

# 添加映射（需要 root）
sudo usermod --add-subuids 100000-165535 --add-subgids 100000-165535 $(whoami)

# 或使用 useradd 命令
sudo useradd --system --shell /usr/sbin/nologin containeruser
sudo usermod --add-subuids 200000-265535 --add-subgids 200000-265535 containeruser

# 检查内核版本
uname -r

# Linux 5.11+：原生 OverlayFS 支持（无需 fuse-overlayfs）
# Linux < 5.11：需要 fuse-overlayfs

# ~/.config/containers/storage.conf

[storage]
# 存储目录（Rootless 默认为 ~/.local/share/containers/storage）
# home = "/home/alice/.local/share/containers/storage"
driver = "overlay"

[storage.options]
# 额外存储路径（可选）
# additionalimagestores = [
#   "/mnt/shared/images",
# ]

[storage.options.overlay]
# Linux 5.11+ 无需指定 mount_program
# Linux < 5.11 需要：
mount_program = "/usr/bin/fuse-overlayfs"
mountopt = "nodev,metacopy=on"

# 以 root 创建共享存储目录
sudo mkdir -p /var/lib/shared-containers/storage
sudo chmod 777 /var/lib/shared-containers/storage

# 拉取共享镜像（以 root）
sudo podman --root /var/lib/shared-containers/storage pull alpine:3.20

# 用户级配置添加只读共享存储
cat >> ~/.config/containers/storage.conf << 'EOF'
[storage.options]
additionalimagestores = [
    "/var/lib/shared-containers/storage",
]
EOF

# 验证：用户可以直接使用共享镜像
podman images
# 应该可以看到 alpine:3.20（来自共享存储）

# 查看当前网络后端
podman info | grep networkBackend

# 切换到 pasta（推荐，需 Podman 4.3+）
# 编辑 ~/.config/containers/containers.conf
[containers]
netns = "pasta"

# 或在运行时指定
podman run --network pasta alpine ping -c1 8.8.8.8

# Rootless 默认不能绑定 < 1024 的端口
podman run -p 80:80 nginx  # ❌ 失败

# 解决方案一：调整 sysctl（推荐）
sudo sysctl net.ipv4.ip_unprivileged_port_start=80

# 永久生效
echo "net.ipv4.ip_unprivileged_port_start=80" | sudo tee /etc/sysctl.d/99-podman.conf

# 解决方案二：setcap
sudo setcap cap_net_bind_service=ep /usr/bin/podman

# 解决方案三：使用端口转发
# iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

# 解决方案四：使用反向代理（最推荐的生产方案）
podman run -d -p 8080:80 nginx  # 绑定非特权端口
# 然后配置 nginx/haproxy/caddy 从 80 转发到 8080

# 检查 cgroup 版本
stat -fc %T /sys/fs/cgroup
# cgroup2fs — 表示 cgroup v2

# cgroup v2 下 Rootless 资源管理
podman run --rm --memory 512m --cpus 1.5 alpine cat /sys/fs/cgroup/memory.max

# 配置 Rootless 用户的 cgroup delegation
# 需要 systemd 245+
sudo systemctl enable --now user@$(id -u).service

# 验证 delegation
systemctl --user status

# 为容器用户创建专属 systemd slice
mkdir -p ~/.config/systemd/user/

cat > ~/.config/systemd/user/container-limits.conf << 'EOF'
[Slice]
# 限制该用户所有容器的总内存
MemoryMax=4G
# 限制 CPU
CPUQuota=200%
EOF

# 重新加载
systemctl --user daemon-reload

# 方法一：sysctl
sudo sysctl net.ipv4.ping_group_range="0 1000"

# 永久生效
echo "net.ipv4.ping_group_range=0 1000" | sudo tee /etc/sysctl.d/99-podman-ping.conf
sudo sysctl --system

# 方法二：文件权限
sudo setcap cap_net_raw+ep /usr/bin/ping

# 1. 始终使用 Rootless（除非有明确理由不用）
podman run ...

# 2. 使用 crun 而非 runc（内存更少，速度更快）
# ~/.config/containers/containers.conf
[engine]
runtime = "crun"

# 3. 配置足够的 subuid/subgid 范围
# /etc/subuid
alice:100000:65536  # 65536 个 UID 通常足够

# 4. 使用 pasta 替代 slirp4netns（Podman 4.3+）

# 5. 确保 cgroup v2 已启用

# 6. 使用 --userns=keep-id 让容器内 UID 与宿主机一致
podman run -v ~/data:/data:Z --userns=keep-id myapp

# 1. 避免使用 --privileged（等同于放弃 Rootless 的安全优势）
podman run --privileged ...  # ❌ 仅在调试时使用

# 2. 避免挂载宿主机敏感目录
podman run -v /etc:/host-etc ...  # ❌ 危险

# 3. 不要在容器内使用 host 网络
podman run --network host ...  # ❌ 失去网络隔离

# 4. 避免在生产环境使用 latest 标签
podman run nginx:latest  # ❌ 使用明确版本