Podman là gì? Cách hoạt động và điểm khác biệt với Docker

Podman là một container engine mã nguồn mở được sử dụng để tạo, chạy và quản lý container, image cũng như pod. Công cụ này được chú ý nhờ kiến trúc daemonless, khả năng chạy container ở chế độ rootless và giao diện dòng lệnh khá tương đồng với Docker. Vậy Podman là gì, hoạt động như thế nào và có thể thay thế Docker hay không?

Podman là gì?

Podman (Pod Manager) là một container engine mã nguồn mở cho phép người dùng quản lý pod, container và container image. Podman cung cấp giao diện dòng lệnh CLI với cú pháp gần giống Docker, vì vậy người đã quen sử dụng Docker có thể tiếp cận tương đối nhanh.

Podman hỗ trợ các tác vụ phổ biến như:

• Tải container image từ registry.
• Build container image.
• Khởi tạo và chạy container.
• Dừng, khởi động lại hoặc xóa container.
• Quản lý pod chứa nhiều container.
• Quản lý network và volume.
• Push image lên container registry.
• Theo dõi trạng thái và log của container.

Một điểm đáng chú ý là Podman được thiết kế theo mô hình daemonless, nghĩa là không cần một daemon trung tâm luôn chạy để thực hiện phần lớn hoạt động quản lý container.

Bên cạnh đó, Podman hỗ trợ chạy container bằng tài khoản người dùng thông thường thông qua rootless mode. Khi hoạt động ở chế độ này, Podman tự động tạo user namespace cho người dùng để ánh xạ UID và GID giữa container với hệ điều hành host.

Podman dùng để làm gì?

Về cơ bản, Podman đảm nhiệm nhiều công việc tương tự các container engine khác.

Developer và quản trị viên hệ thống có thể sử dụng Podman trong quá trình phát triển, kiểm thử và triển khai ứng dụng được đóng gói dưới dạng container.

Một số trường hợp sử dụng phổ biến gồm:

Chạy ứng dụng trong container

Podman có thể tải một image từ container registry rồi tạo container từ image đó.

Ví dụ:

podman pull nginx
podman run -d nginx

Container giúp đóng gói ứng dụng cùng các thư viện và dependency cần thiết, nhờ đó ứng dụng có thể được triển khai nhất quán giữa nhiều môi trường.

Build container image

Podman cũng có khả năng xây dựng image từ Containerfile hoặc Dockerfile.

Ví dụ:

podman build -t my-app .

Podman sử dụng Buildah trong quá trình tạo container image, đồng thời Podman và Buildah có thể sử dụng chung kho lưu trữ image.

Quản lý container

Người dùng có thể kiểm tra container đang chạy bằng:

podman ps

Kiểm tra toàn bộ container:

podman ps -a

Sau đó có thể start, stop, restart hoặc remove container tùy theo nhu cầu.

Quản lý Pod

Một điểm khá đặc trưng của Podman là hỗ trợ khái niệm pod trực tiếp.

Pod là một nhóm gồm một hoặc nhiều container được tổ chức để hoạt động cùng nhau. Cách tiếp cận này khá quen thuộc đối với những người đang làm việc với Kubernetes.

Ví dụ, một ứng dụng có thể gồm container chạy web server và một container khác thực hiện tác vụ hỗ trợ. Hai container có thể được tổ chức trong cùng một pod để dễ quản lý.

Các thành phần quan trọng trong Podman

Để sử dụng Podman hiệu quả, người dùng nên hiểu một số khái niệm cơ bản sau.

Container

Container là một môi trường cô lập dùng để chạy ứng dụng cùng các dependency của nó.

So với máy ảo, container không cần mỗi instance phải có một hệ điều hành khách hoàn chỉnh mà có thể chia sẻ kernel của host.

Podman chịu trách nhiệm tạo, khởi động, dừng và quản lý vòng đời của những container này.

Container Image

Container image là gói chứa các thành phần cần thiết để tạo một container như:

• Application code.
• Runtime.
• Libraries.
• Dependencies.
• Cấu hình mặc định.

Từ một image, người dùng có thể tạo nhiều container khác nhau.

Pod

Pod là một nhóm container được tổ chức để có thể hoạt động cùng nhau. Podman hỗ trợ quản lý pod trực tiếp ngay từ CLI. Đây cũng là nguồn gốc của tên gọi Pod Manager.

Volume

Volume được dùng để lưu dữ liệu tách biệt khỏi vòng đời của container. Ví dụ, nếu một container database bị xóa và tạo lại, dữ liệu quan trọng có thể được giữ trong volume thay vì lưu trực tiếp trong filesystem tạm thời của container.

Network

Podman cung cấp các chức năng quản lý network để các container có thể giao tiếp với nhau hoặc truy cập những tài nguyên bên ngoài.

Container Registry

Registry là nơi lưu trữ và phân phối container image.

Podman có thể làm việc với các registry sử dụng image theo chuẩn container phổ biến. Tài liệu Podman minh họa việc tìm kiếm, tải hoặc xuất bản image trên các registry như Docker Hub và Quay.

Những tính năng nổi bật của Podman

Không cần daemon trung tâm

Đây là một trong những điểm khác biệt dễ nhận thấy nhất giữa Podman và mô hình Docker Engine truyền thống.

Việc không phụ thuộc daemon trung tâm giúp kiến trúc quản lý container của Podman đơn giản theo hướng mỗi câu lệnh có thể trực tiếp xử lý tài nguyên liên quan.

Hỗ trợ rootless

Phần lớn câu lệnh Podman có thể thực thi bằng tài khoản người dùng thông thường mà không cần bổ sung đặc quyền root.

Rootless đặc biệt hữu ích trong những môi trường muốn hạn chế việc cấp quyền cao cho developer hoặc tiến trình container.

Tương thích với OCI

Podman làm việc với container và container image theo các chuẩn OCI. Nhờ đó, image được xây dựng hoặc sử dụng trong hệ sinh thái container phổ biến có khả năng tương thích tốt giữa nhiều công cụ khác nhau.

Tích hợp với systemd

Podman có khả năng làm việc tốt với systemd trên Linux.

Hiện Podman hỗ trợ Quadlet, cho phép khai báo container, pod, volume và network dưới dạng cấu hình systemd để hệ thống quản lý chúng như các service.

Tính năng này phù hợp với những môi trường Linux Server sử dụng systemd để quản lý service.

Podman và Docker khác nhau như thế nào?

Podman và Docker đều có thể thực hiện nhiều tác vụ quản lý container tương tự nhau, nhưng kiến trúc và hệ sinh thái của hai nền tảng có một số điểm khác biệt.

Điểm khác biệt lớn nhất vẫn nằm ở kiến trúc.

Docker Engine thông thường sử dụng dockerd làm daemon để quản lý container. Docker CLI gửi yêu cầu đến daemon để thực thi.

Podman lại được thiết kế theo kiến trúc daemonless.

Tuy nhiên, không nên kết luận rằng Podman luôn an toàn hơn Docker chỉ vì không có daemon. Mức độ bảo mật thực tế còn phụ thuộc vào cấu hình host, quyền người dùng, container image, network, secrets, kernel và nhiều thành phần khác.

Ưu điểm của Podman

• Kiến trúc Daemonless: Podman không cần một daemon trung tâm chạy thường trực để quản lý container. Điều này giúp giảm sự phụ thuộc vào một tiến trình quản lý duy nhất và phù hợp với cách quản lý tiến trình trên Linux.
• Hỗ trợ Rootless: Podman cho phép người dùng thông thường chạy và quản lý container mà không cần quyền root. Cơ chế này giúp hạn chế đặc quyền và giảm phạm vi ảnh hưởng nếu container bị xâm nhập.
• Tương thích cao với Docker: Podman hỗ trợ Dockerfile, Containerfile và nhiều lệnh có cú pháp tương tự Docker CLI. Nhờ đó, developer có thể chuyển nhiều workflow từ Docker sang Podman với ít thay đổi.
• Hỗ trợ Pod và Kubernetes YAML: Podman có thể nhóm nhiều container thành Pod và sử dụng podman kube play để chạy một số workload từ Kubernetes YAML. Điều này thuận tiện cho quá trình phát triển và thử nghiệm trước khi triển khai lên Kubernetes.
• Tích hợp tốt với Linux: Podman hỗ trợ systemd, cgroups và SELinux. Với Quadlet, container có thể được systemd quản lý tương tự các Linux service, bao gồm tự khởi động, quản lý dependency và logging.

Hạn chế của Podman

Podman cũng không phải lựa chọn tối ưu cho mọi trường hợp.

• Hệ sinh thái nhỏ hơn Docker: Docker có hệ sinh thái rộng với Docker Desktop, Docker Hub, Compose và nhiều công cụ tích hợp. Hệ thống phụ thuộc sâu vào Docker cần kiểm tra khả năng tương thích trước khi chuyển sang Podman.
• Không tương thích hoàn toàn với mọi workflow Docker: Dù có nhiều lệnh tương tự Docker, Podman vẫn có khác biệt về networking, Compose, volume và một số công cụ bên thứ ba. Vì vậy, việc chuyển đổi vẫn cần được kiểm thử.
• Trải nghiệm khác nhau giữa các hệ điều hành: Podman hoạt động native trên Linux. Trên Windows và macOS, Podman thường cần một máy ảo Linux thông qua Podman Machine, khiến cách triển khai và quản lý có một số khác biệt so với Linux.

Một số lệnh Podman cơ bản

Người mới có thể bắt đầu với các lệnh phổ biến sau.

Kiểm tra phiên bản:

podman --version

Tải một image:

podman pull nginx

Xem các image đã tải:

podman images

Chạy container:

podman run -d nginx

Xem container đang chạy:

podman ps

Xem toàn bộ container:

podman ps -a

Dừng container:

podman stop <container-name>

Xóa container:

podman rm <container-name>

Xóa image:

podman rmi <image-name>

Những câu lệnh này khá giống Docker nên người đã sử dụng Docker thường không mất quá nhiều thời gian để làm quen.

Khi nào nên sử dụng Podman?

Podman đáng cân nhắc trong các trường hợp:

• Hệ thống chủ yếu vận hành trên Linux.
• Muốn sử dụng container theo kiến trúc daemonless.
• Có nhu cầu chạy container rootless.
• Muốn quản lý container thông qua systemd.
• Cần tổ chức nhiều container dưới dạng pod.
• Đội ngũ đã quen Docker CLI nhưng muốn thử một container engine khác.
• Muốn xây dựng môi trường container dựa trên các chuẩn OCI.

Ngược lại, Docker có thể phù hợp hơn nếu doanh nghiệp đang sử dụng sâu hệ sinh thái Docker, phụ thuộc nhiều vào Docker Desktop hoặc có hệ thống CI/CD và công cụ nội bộ đã được chuẩn hóa hoàn toàn theo Docker.

Việc lựa chọn nên dựa trên kiến trúc hệ thống, khả năng tương thích và yêu cầu vận hành thay vì chỉ so sánh một vài tính năng riêng lẻ.

Câu hỏi thường gặp về Podman

Podman có phải là Docker không?

Không. Podman và Docker là hai công cụ khác nhau, nhưng đều có thể thực hiện nhiều tác vụ như build image, pull image, chạy và quản lý container.

Podman có thể thay thế Docker không?

Podman có thể thay thế Docker trong nhiều workload, đặc biệt trên Linux. Tuy nhiên, các hệ thống phụ thuộc Docker Desktop, Compose hoặc những công cụ tích hợp cụ thể vẫn cần kiểm thử trước khi chuyển đổi.

Podman có chạy được Docker image không?

Có. Podman làm việc với các container image theo chuẩn phổ biến của hệ sinh thái OCI và có thể tải image từ những container registry như Docker Hub.

Podman có cần quyền root không?

Không bắt buộc. Podman hỗ trợ rootless mode, cho phép người dùng thông thường chạy nhiều tác vụ container mà không cần quyền root.

Podman có sử dụng Dockerfile không?

Có. Podman có thể build container image từ Dockerfile hoặc Containerfile.

Podman có phù hợp với Kubernetes không?

Podman và Kubernetes đều sử dụng khái niệm pod, tuy nhiên Podman không phải là nền tảng orchestration thay thế Kubernetes. Podman tập trung vào việc tạo và quản lý container, image và pod trên hệ thống, trong khi Kubernetes giải quyết bài toán điều phối container ở quy mô lớn.

Kết luận

Podman là container engine mã nguồn mở cho phép xây dựng, chạy và quản lý container, image cũng như pod. Hai đặc điểm nổi bật của Podman là kiến trúc daemonless và khả năng chạy container rootless, đồng thời CLI tương đồng với Docker giúp người dùng dễ tiếp cận.