PODMAN : Podman, contraction de « Pod Manager »
Infrastructure
Podman est un outil libre pour créer, lancer et administrer des conteneurs et des pods. Il fonctionne sans service central permanent et permet une exécution sans privilèges administrateur, ce qui réduit la surface d'attaque.
Sans daemon : Chaque commande Podman lance directement l'opération demandée, sans dépendre d'un processus central toujours actif. Moins de plomberie en arrière-plan, moins de surprises au redémarrage.
Conteneurs rootless : Podman peut exécuter des conteneurs avec un compte utilisateur ordinaire, sans droits administrateur. Cette approche limite les dégâts possibles si un conteneur est compromis.
Pods et compatibilité : Un pod regroupe plusieurs conteneurs partageant notamment le réseau et certains espaces de noms. Podman reprend une grande partie des commandes et des formats utilisés par Docker, ce qui facilite les migrations.
Ce qui arrive si on s'en passe
Sans exécution sans privilèges, les processus conteneurisés tournent avec les droits administrateur de l'hôte : une évasion de conteneur, un montage de volume mal borné ou une image piégée donnent directement accès aux fichiers système, aux clés stockées sur la machine et aux autres conteneurs voisins. Sans le modèle sans service central permanent, tout passe par un démon privilégié unique : quiconque obtient l'accès à sa socket obtient l'équivalent d'un accès root, et les actions apparaissent au nom de ce démon, ce qui brouille la traçabilité (les journaux n'attribuent plus une commande à l'utilisateur qui l'a lancée). L'isolation par pods manquante laisse par ailleurs les charges partager réseau et espaces de noms sans frontière explicite, si bien qu'un service compromis atteint les autres sans franchir de contrôle. La reprise devient plus lente : sans conteneurs reconstructibles à l'identique, l'état exact d'un composant fautif ne se rejoue pas.
Explication de la marmotte
Un conteneur est une petite boîte logicielle qui contient une application et les éléments nécessaires pour la faire fonctionner. Podman sert à fabriquer ces boîtes, à les démarrer, à les arrêter et à les ranger. Il peut aussi regrouper plusieurs boîtes qui doivent travailler ensemble, comme une équipe dans un même atelier. Contrairement à certains outils voisins, il n'a pas besoin d'un programme central qui reste allumé en permanence. Et l'opération peut se faire sans utiliser les clés de la salle des machines.