Podman（全称 POD 管理器）是一款用于在 Linux® 系统上开发、管理和运行容器的开源工具。Podman 最初由红帽® 工程师联合开源社区一同开发，它可利用 lipod 库来管理整个容器生态系统。 
Podman 是一款无守护进程、开源、Linux 本机工具，旨在使用开放容器倡议（OCI）容器和容器映像轻松查找、运行、构建、共享和部署应用程序。 Podman 提供一个使用过 Docker 容器引擎的人都熟悉的命令行界面（CLI）。 大多数用户只需将 Docker 别名为 Podman（alias docker=podman）即可，不会有任何问题。 与其他常见的容器引擎（Docker、CRI-O、containerd）类似，Podman 依靠符合 OCI 标准的容器运行时（runc、crun、runv 等）与操作系统对接，并创建运行中的容器。 这使得 Podman 创建的运行容器与其他普通容器引擎创建的运行容器几乎没有区别。

Podman 控制下的容器可以由非特权用户运行(无守护进程）。 Podman 使用 libpod 库管理整个容器生态系统，包括 pod、容器、容器映像和容器卷。 Podman 专注于帮助您维护和修改 OCI 容器映像的所有命令和功能，如拉取和标记。 它允许你在生产环境中创建、运行和维护这些容器和容器映像。

什么是 Podman？

原因之一是开源就是选择。操作系统有不止一种编辑器、不止一种 shell、不止一种文件系统和不止一种互联网浏览器。我相信 Podman 的设计从根本上优于 Docker，并提供了可提高容器安全性和使用性的功能。

Podman 与Docker的区别在于它没有守护进程。守护进程是在系统后台运行的进程，可在无用户接口的情况下完成运行容器的繁重工作。我们可以把守护进程看作在用户和容器本身之间通信的中介。 

尽管守护进程有助于容器环境的管理，但它们也可能会带来安全漏洞。许多守护进程使用根特权来运行。在 Linux 系统中，根帐户作为具有管理员访问权限（同时无需进行管理员验证）的超级用户，可以读取文件、安装程序、编辑应用和执行其他操作。如此一来，对于企图控制您的容器并渗透主机系统的黑客而言，守护进程就是他们的理想攻击目标。 

Podman 剔除了守护进程，允许普通用户无需与由根帐户所有的守护进程交互就能运行容器，或者允许使用无根容器。通过无根形式，用户无需使用具有管理员特权的进程，就能创建、运行和管理容器，不仅使容器环境变得更易访问，又可降低安全性风险。此外，Podman 使用安全增强型 Linux （SELinux）标签来启动各个容器，提高了管理员控制向容器进程提供哪些资源和功能的掌控力。

既生 Docker，何生 Podman？

| 特征 | Podman | Docker | 描述 |
| --------------------- | :----: | :----: | ------------------------------------------------------------------------------------ |
| 支持所有 OCI 和 Docker 镜像 | ✓ | ✓ | 从容器注册表（即 quay.io 和 docker.io）中提取并运行容器镜像。 |
| 推出OCI容器引擎 | ✓ | ✓ | 使用 runc、crun、Kata、gVisor 和 OCI 容器引擎启动容器 |
| 简单的命令行界面 | ✓ | ✓ | Podman 和 Docker 共享相同的CLI。 |
| 与 systemd 集成 | ✓ | × | Podman 支持在容器内运行systemd 以及许多 systemd 功能。 |
| Fork/exec 模型 | ✓ | × | 该容器是 podman 命令的直接衍生。 |
| 完全支持用户命名空间 | ✓ | × | 只有 Podman 支持在单独的用户命名空间中运行容器。 |
| 主从式架构（客户端-服务器架构） | ✓ | ✓ | Docker 是一个 RESTful API 守护进程。 Podman 通过 systemd socket=activated 服务支持 RESTful API。 |
| 支持docker-compose | ✓ | ✓ | compose 脚本适用于两种 Restful API。 Podman 在无根模式下工作。 |
| 支持 docker-py | ✓ | ✓ | docker-py python 绑定适用于两种 Restful API。 Podman 在无根模式下工作。 Podman 还支持 podman-py 来运行高级功能。 |
| 无守护进程 | ✓ | × | podman 命令的运行方式类似于传统的命令行工具，而 Docker 需要多个以 root 身份运行的守护进程。 |
| 支持类似 Kubernetes 的 Pod | ✓ | × | Podman 支持在同一个 pod 中运行多个容器。 |
| 支持 Kubernetes yaml | ✓ | × | Podman 可以基于 Kuber-netes yaml启动容器和 Pod。它还可以从运行的容器生成 Kuberenetes.yaml |
| 支持Docker swarm | × | ✓ | Podman 认为，协调多节点容器的未来是 Kubernetes，并不打算实施Swarm |
| 可定制的Registry | ✓ | × | Podman 允许您配置注册表以进行短名称扩展。当您指定短名称时，Docker 会被硬编码到 docker.io。 |
| 可定制的默认配置文件 | ✓ | × | Podman 支持完全自定义其所有默认设置，包括安全性、命名空间、卷等。 |
| 对Mac的支持 | ✓ | ✓ | Podman 和 Docker 支持通过运行 Linux 的 VM 在 Mac 上运行容器。 |
| 对Windows的支持 | ✓ | ✓ | Podman 和 Docker 支持在Windows WSL2 或运行 Linux 的虚拟机上运行容器。 |
| 对Linux的支持 | ✓ | ✓ | 所有主要 Linux 发行版均支持Podman 和 Docker。 |
| 在软件升级过程中，容器不会停止 | ✓ | × | 在运行 containers 时，Podman 无需继续运行。由于 Docker 守护进程正在监控容器，默认情况下，当它停止时，所有容器都会停止。 |

Podman与Docker对比

下一代Linux 容器工具的入门及操作指南。