Podman 报错：普通用户无法运行 rootless Podman 怎么办

在 RHEL 8.10 环境中，root 用户执行 podman ps 正常，但切换到 oracle 普通用户后却报错。这个问题看起来像磁盘空间不足，实际关键点在于 rootless Podman 依赖的 User Namespace 没有启用。

01 | 问题现象

root 用户执行正常：

bash 复制代码

podman ps

text 复制代码

CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES

切换到 oracle 用户后：

bash 复制代码

su - oracle
podman ps

报错如下：

text 复制代码

cannot clone: No space left on device
user namespaces are not enabled in /proc/sys/user/max_user_namespaces
Error: cannot re-exec process

这里最关键的一行是：

text 复制代码

user namespaces are not enabled in /proc/sys/user/max_user_namespaces

它说明当前系统没有为普通用户启用 User Namespace，因此 rootless Podman 无法正常启动。

02 | 根因定位

Rootless Podman 依赖 Linux User Namespace。可以先检查当前配置：

bash 复制代码

cat /proc/sys/user/max_user_namespaces

如果输出为：

text 复制代码

就表示 User Namespace 被禁用。

本次环境中还发现了多个 sysctl 配置文件：

text 复制代码

/etc/sysctl.conf
/etc/sysctl.d/99-sysctl.conf

其中都配置了：

text 复制代码

user.max_user_namespaces = 0

这会带来一个容易忽略的问题：即使新增了下面的配置文件：

text 复制代码

/etc/sysctl.d/99-podman.conf
user.max_user_namespaces = 28633

执行：

bash 复制代码

sysctl --system

之后，配置仍可能被后面的 user.max_user_namespaces = 0 覆盖，导致问题没有真正解决。

03 | 解决步骤

① 启用 User Namespace

建议统一保留一个有效配置，例如：

text 复制代码

user.max_user_namespaces = 28633

或者：

text 复制代码

user.max_user_namespaces = 65536

然后重新加载 sysctl 配置：

bash 复制代码

sysctl --system

确认当前值：

bash 复制代码

cat /proc/sys/user/max_user_namespaces

期望输出为：

text 复制代码

或者：

text 复制代码

只要该值大于 0，rootless Podman 就具备继续运行的基础条件。

② 配置普通用户 UID/GID 映射

继续检查 oracle 用户是否配置了 subuid 和 subgid：

bash 复制代码

grep '^oracle:' /etc/subuid /etc/subgid

如果没有结果，可以执行：

bash 复制代码

usermod \
 --add-subuids 100000-165535 \
 --add-subgids 100000-165535 \
 oracle

确认结果应类似：

text 复制代码

/etc/subuid:oracle:100000:65536
/etc/subgid:oracle:100000:65536

③ 检查辅助工具

还需要确认 newuidmap 和 newgidmap 存在：

bash 复制代码

which newuidmap
which newgidmap

期望输出：

text 复制代码

/usr/bin/newuidmap
/usr/bin/newgidmap

04 | 最后验证

重新切换到普通用户：

bash 复制代码

su - oracle

执行：

bash 复制代码

podman ps

如果正常返回：

text 复制代码

CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES

说明 rootless Podman 已经可以正常工作。

user.max_user_namespaces 表示系统允许创建的 User Namespace 最大数量。0 表示禁用，rootless Podman 无法使用；28633 和 65536 都是可用配置。对于需要运行 rootless Podman 的 RHEL/ODA 环境，重点不是固定某个数字，而是确保该值大于 0，并避免被其他 sysctl 配置覆盖。

关注我，和AI一起成长~