Доступ запрещен на простой контейнер podman curl в одной строке (система CoreOS)

Содержание

Вопрос или проблема
Ответ или решение
Проблема
Диагностика
Решение
Рекомендации
Заключение

Вопрос или проблема

На относительно свежей и простой системе CoreOS, пытаясь выполнить следующую команду:

podman run --rm docker.io/curlimages/curl -v host.containers.internal:2040

Возникает следующая ошибка:

{"msg":"exec container process `/entrypoint.sh`: Permission denied","level":"error","time":"2024-11-22T22:12:56.046889Z"}

С чем я абсолютно не знаю, что делать. Я пробовал следующее:

sudo setenforce 0 для временного отключения SELinux, что не изменило получаемую ошибку.
Добавил флаг --userns=keep-id к команде, что также не изменило результаты.

Пример:

podman run --userns=keep-id --rm docker.io/curlimages/curl -v host.containers.internal:2040

Для других более сложных контейнеров podman, я пытался установить флаг :z для монтирования томов, но безрезультатно.

Должно быть, я что-то неправильно делаю в своей системе. Единственная аномальная часть моей системы заключается в том, что у меня установлены и podman, и docker на одной машине по соображениям совместимости, но я считаю, что это не должно быть конфликтом.

Я сам нашел ответ в процессе отладки.

В основном, существовал какой-то флаг facl, который мешал правам доступа новосозданных изображений, что приводило к странному поведению.

Я смог исправить это, очистив свою папку ~/.local/share/containers и начав с нуля, также убедившись, что все расширенные права facl были очищены с помощью setfacl -bR ~/.local. Я думаю, что это было установлено ошибочно пользователем, но я, вероятно, утверждал бы, что права facl на уровне пользователя не должны мешать поведению podman без прав суперпользователя.

Ответ или решение

На относительно свежей и простой системе CoreOS, попытка выполнения команды podman для запуска контейнера с cURL может вызвать ошибку "Permission denied". Давайте подробно рассмотрим возможные причины и решения этой проблемы.

Проблема

Вы написали команду:

podman run --rm docker.io/curlimages/curl -v host.containers.internal:2040

И столкнулись с ошибкой:

{"msg":"exec container process `/entrypoint.sh`: Permission denied","level":"error","time":"2024-11-22T22:12:56.046889Z"}

Ошибки подобного рода обычно связаны с проблемами прав доступа, которые могут возникать как на хост-системе, так и в контейнере.

Диагностика

Вы упомянули, что пытались:

Отключить SELinux с помощью команды sudo setenforce 0, но это не помогло.
Добавить флаг --userns=keep-id, что тоже не решило проблему.
Использовать систему меток безопасности с флагом :z, однако это тоже не дало результата.

Стоит отметить, что наличие одновременно установленных podman и docker само по себе не должно вызывать конфликт. Однако конфликты могут возникнуть из-за того, как системы пользователей и прав доступа настроены на вашей системе.

Решение

После дополнительной отладки вы выяснили, что причина ошибки заключалась в расширенных ACL (Access Control Lists), которые мешали созданию и запуску новых образов.

Шаг 1: Очистка каталога контейнеров

Чтобы решить проблему, вы удалили каталог ~/.local/share/containers, что позволило начать с чистого листа.

Шаг 2: Очистка ACL

Кроме того, вы исполнили команду setfacl -bR ~/.local, чтобы удалить все расширенные ACL разрешения в этой директории. Это решило проблему и обеспечило нормальную работу potman.

Заключение

Ошибка "Permission denied" может быть вызвана множеством факторов, связанных с правами доступа на хост-системе, особенно в средах с активными пользователями и расширенными правами. В вашем случае, удаление каталога контейнеров и очистка ACL помогли вернуть работу podman в норму. Это подчеркивает важность комплексного подхода к правам доступа и управления контейнерами.