Kubernetesをローカルマシンに：Podmanがもたらす5つの革新

+-------------------------------------------------------------+
|                    Docker Architecture (Client-Server)       |
|                                                              |
|  +----------+     REST API      +------------------------+  |
|  | docker   | ----------------->|       dockerd          |  |
|  | CLI      |     /var/run/     |   (Docker Daemon)      |  |
|  +----------+    docker.sock    |   +------------------+  |  |
|                                 |   |   containerd     |  |  |
|  +----------+     REST API      |   |  +------------+  |  |  |
|  | docker   | ----------------->|   |  |   runc     |  |  |  |
|  | CLI      |     /var/run/     |   |  +------------+  |  |  |
|  +----------+    docker.sock    |   +------------------+  |  |
|                                 |                        |  |
|  +----------+     REST API      |   +-----+ +-----+     |  |
|  | docker   | ----------------->|   | C1  | | C2  | ... |  |
|  | CLI      |                   |   +-----+ +-----+     |  |
|  +----------+                   +------------------------+  |
|                                          ^                  |
|                                          |                  |
|                              * Single Point of Failure *    |
|                              dockerdが停止すると            |
|                              全コンテナ管理が不能に        |
+-------------------------------------------------------------+

+-------------------------------------------------------------+
|                  Podman Architecture (Daemonless Fork-Exec)  |
|                                                              |
|  +----------+   fork/exec    +-------+    +--------------+  |
|  | podman   | -------------->| conmon |--->| Container 1  |  |
|  | CLI      |                +-------+    +--------------+  |
|  +----------+                                                |
|       |                                                      |
|       |          fork/exec    +-------+    +--------------+  |
|       +--------------------->| conmon |--->| Container 2  |  |
|       |                      +-------+    +--------------+  |
|       |                                                      |
|       |          fork/exec    +-------+    +--------------+  |
|       +--------------------->| conmon |--->| Container 3  |  |
|                              +-------+    +--------------+  |
|                                                              |
|  * デーモンなし：各コンテナは独立したプロセス               |
|  * Podman CLIの終了はコンテナに影響しない                   |
|  * conmon：軽量コンテナモニター（ログ、終了コード）         |
|  * OCI ランタイム（crun/runc）の直接呼び出し               |
+-------------------------------------------------------------+

# /etc/containers/systemd/webapp.container (Quadlet形式)
[Unit]
Description=Production Web Application
After=network-online.target
Wants=network-online.target

[Container]
Image=registry.example.com/webapp:v2.1.0
PublishPort=8080:8080
Environment=NODE_ENV=production
Environment=DB_HOST=db.internal
Volume=/data/webapp:/app/data:Z
Network=webapp.network
AutoUpdate=registry
HealthCmd=/bin/curl -f http://localhost:8080/health || exit 1
HealthInterval=30s
HealthRetries=3
HealthStartPeriod=10s

[Service]
Restart=always
RestartSec=5
TimeoutStartSec=120
WatchdogSec=60

[Install]
WantedBy=multi-user.target default.target

# ~/.config/containers/systemd/app-network.network
[Network]
Subnet=10.89.1.0/24
Gateway=10.89.1.1

# ~/.config/containers/systemd/postgres.container
[Unit]
Description=PostgreSQL Database

[Container]
Image=docker.io/library/postgres:16-alpine
Volume=pgdata.volume:/var/lib/postgresql/data:Z
Network=app-network.network
Environment=POSTGRES_DB=appdb
Environment=POSTGRES_USER=appuser
Secret=pg-password,type=env,target=POSTGRES_PASSWORD
HealthCmd=pg_isready -U appuser
HealthInterval=10s

[Service]
Restart=always

[Install]
WantedBy=multi-user.target default.target

# ~/.config/containers/systemd/pgdata.volume
[Volume]

# Quadletの適用
systemctl --user daemon-reload

# サービス起動
systemctl --user start postgres.service

# ステータス確認
systemctl --user status postgres.service

# ログ表示
journalctl --user -u postgres.service -f

+-------------------------------------------------------------+
|               User Namespace UIDマッピング図                  |
|                                                              |
|  +---------------------+      +---------------------------+ |
|  |   コンテナ内部      |      |      ホストシステム       | |
|  |   (User Namespace)  |      |                           | |
|  |                     |      |                           | |
|  |   UID 0 (root) ----+------+--> UID 1000 (youruser)    | |
|  |   UID 1        ----+------+--> UID 100000             | |
|  |   UID 2        ----+------+--> UID 100001             | |
|  |   UID 3        ----+------+--> UID 100002             | |
|  |   ...               |      |    ...                    | |
|  |   UID 65535    ----+------+--> UID 165535             | |
|  |                     |      |                           | |
|  +---------------------+      +---------------------------+ |
|                                                              |
|  * コンテナのrootがエスケープしてもホスト上ではUID 1000      |
|  * 非特権ユーザー -> システムファイルへのアクセス不可         |
|  * カーネルエクスプロイトの影響範囲が大幅に縮小              |
+-------------------------------------------------------------+

# /etc/subuid - ユーザーごとの従属UID範囲
youruser:100000:65536

# /etc/subgid - ユーザーごとの従属GID範囲
youruser:100000:65536

# 意味：youruserはUID 100000から65536個のUIDを使用可能

# ルートレスモードでコンテナを実行
podman run -d --name test-rootless alpine sleep 3600

# コンテナ内のUIDを確認
podman exec test-rootless id
# uid=0(root) gid=0(root)  <- コンテナ内ではrootに見える

# ホスト上の実際のUIDを確認
podman top test-rootless huser
# HUSER
# 1000     <- ホスト上では一般ユーザー（UID 1000）

# keep-idモード：ホストUIDをコンテナ内で維持
# -> バインドマウントしたファイルの所有権問題を解決
podman run --userns=keep-id -v $HOME/project:/workspace:Z \
  -it node:20-alpine sh

# nomapモード：ホストユーザーのUIDを一切マッピングしない
# -> コンテナはホストユーザー所有のファイルにアクセス不可（world権限を除く）
podman run --userns=nomap alpine cat /proc/self/uid_map

# PodmanのデフォルトCapabilitiesを確認
podman run --rm alpine grep Cap /proc/1/status
# CapBnd: 00000000a80425fb

# DockerのデフォルトCapabilitiesを確認
docker run --rm alpine grep Cap /proc/1/status
# CapBnd: 00000000a80435fb
# -> DockerはCapabilitiesが多い（NET_RAWなどを含む）

+-------------------------------------------------------------+
|              開発/運用の言語二重性問題                        |
|                                                              |
|  開発者のラップトップ                  本番クラスター         |
|  +-------------------+            +--------------------+    |
|  | docker-compose.yml|            |  deployment.yaml   |    |
|  |                   |  ------->  |  service.yaml      |    |
|  | version: "3.8"    |   変換    |  configmap.yaml    |    |
|  | services:         |   が必要   |  ingress.yaml      |    |
|  |   web:            |            |                    |    |
|  |     image: app    |            |  apiVersion: apps/v1|   |
|  |     ports:        |            |  kind: Deployment  |    |
|  |       - "8080:80" |            |  spec:             |    |
|  +-------------------+            |    replicas: 3     |    |
|                                   +--------------------+    |
|                                                              |
|  * 2つの構文、2つのツール、2倍の学習コスト                  |
|  * 微妙な変換差異によるデプロイ失敗                         |
|  * 「自分のラップトップでは動いたのに…」の新たな変種        |
+-------------------------------------------------------------+

# microservices-stack.yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  DATABASE_HOST: 'postgres'
  DATABASE_PORT: '5432'
  DATABASE_NAME: 'appdb'
  APP_LOG_LEVEL: 'info'
---
apiVersion: v1
kind: Pod
metadata:
  name: microservices
  labels:
    app: microservices-stack
    environment: development
spec:
  # Initコンテナ：データベースマイグレーション
  initContainers:
    - name: db-migration
      image: docker.io/library/flyway/flyway:10
      command: ['flyway', 'migrate']
      env:
        - name: FLYWAY_URL
          value: 'jdbc:postgresql://localhost:5432/appdb'
        - name: FLYWAY_USER
          value: 'appuser'
        - name: FLYWAY_PASSWORD
          value: 'secret123'
      volumeMounts:
        - name: migration-scripts
          mountPath: /flyway/sql
  containers:
    # データベース
    - name: postgres
      image: docker.io/library/postgres:16-alpine
      ports:
        - containerPort: 5432
      env:
        - name: POSTGRES_DB
          value: 'appdb'
        - name: POSTGRES_USER
          value: 'appuser'
        - name: POSTGRES_PASSWORD
          value: 'secret123'
      volumeMounts:
        - name: pgdata
          mountPath: /var/lib/postgresql/data
    # APIサーバー
    - name: api-server
      image: docker.io/library/node:20-alpine
      ports:
        - containerPort: 3000
          hostPort: 3000
      env:
        - name: DATABASE_HOST
          value: 'localhost'
        - name: DATABASE_PORT
          value: '5432'
      command: ['node', 'server.js']
      volumeMounts:
        - name: app-source
          mountPath: /app
    # Redisキャッシュ
    - name: redis
      image: docker.io/library/redis:7-alpine
      ports:
        - containerPort: 6379
      command: ['redis-server', '--maxmemory', '256mb']
  volumes:
    - name: pgdata
      persistentVolumeClaim:
        claimName: pgdata-pvc
    - name: migration-scripts
      hostPath:
        path: ./migrations
    - name: app-source
      hostPath:
        path: ./src

# YAMLファイルからスタック全体を作成
podman kube play microservices-stack.yaml

# 実行状態を確認
podman pod ps
# POD ID        NAME            STATUS   CREATED        INFRA ID      # OF CONTAINERS
# a1b2c3d4e5f6  microservices   Running  10 seconds ago 9f8e7d6c5b4a  4

# 個別コンテナを確認
podman ps --pod
# CONTAINER ID  IMAGE                            STATUS         POD ID        NAMES
# ...           docker.io/library/postgres:16    Up 10 seconds  a1b2c3d4e5f6  microservices-postgres
# ...           docker.io/library/node:20        Up 8 seconds   a1b2c3d4e5f6  microservices-api-server
# ...           docker.io/library/redis:7        Up 8 seconds   a1b2c3d4e5f6  microservices-redis

# APIサーバーのログを確認
podman logs microservices-api-server

# --downフラグでスタック全体を破棄・クリーンアップ
podman kube play --down microservices-stack.yaml

# 確認
podman pod ps
# （空 - すべてのリソースがクリーンアップ済み）

プロジェクトディレクトリ構造:
+-- my-stack.yaml          <- image: my-api を参照
+-- my-api/                <- 自動ビルド対象
|   +-- Containerfile
|   +-- src/
|       +-- server.js
+-- my-frontend/           <- image: my-frontend を参照
    +-- Containerfile
    +-- dist/
        +-- index.html

# --buildフラグでイメージ自動ビルド + 実行
podman kube play --build my-stack.yaml

# 既にビルド済みのイメージを置換（強制ビルド）
podman kube play --replace --build my-stack.yaml

# Initコンテナタイプの指定（Podmanアノテーション）
metadata:
  annotations:
    io.podman.annotations.init.container.type/wait-for-db: 'always'
spec:
  initContainers:
    - name: wait-for-db
      image: docker.io/library/busybox:latest
      command:
        ['sh', '-c', 'until nc -z localhost 5432; do echo "Waiting for DB..."; sleep 2; done']

+-------------------------------------------------------------+
|                      Podman Podアーキテクチャ                 |
|                                                              |
|  +--- Pod ------------------------------------------------+ |
|  |                                                        | |
|  |  +----------+                                          | |
|  |  |  Infra   |  <- pauseコンテナ                        | |
|  |  |Container |  <- ネットワーク名前空間のオーナー       | |
|  |  | (pause)  |  <- Podライフサイクルのアンカー           | |
|  |  +----------+                                          | |
|  |       |                                                | |
|  |       |-- 共有: Network Namespace                      | |
|  |       |-- 共有: IPC Namespace                          | |
|  |       |-- 共有: UTS Namespace (hostname)               | |
|  |       |                                                | |
|  |  +----------+  +----------+  +----------+             | |
|  |  |   App    |  |  Sidecar |  |  Logging |             | |
|  |  |Container |  | (envoy)  |  | (fluentd)|             | |
|  |  |          |  |          |  |          |             | |
|  |  | :8080    |  | :15001   |  | :24224   |             | |
|  |  +----------+  +----------+  +----------+             | |
|  |                                                        | |
|  |  * 全コンテナがlocalhostで通信                         | |
|  |  * Kubernetes Podと同じネットワークモデル              | |
|  +--------------------------------------------------------+ |
|                                                              |
+-------------------------------------------------------------+

# 1. Podを作成（ポートマッピングはPodレベルで設定）
podman pod create --name my-app \
  --publish 8080:8080 \
  --publish 9090:9090

# 2. メインアプリケーションコンテナ
podman run -d --pod my-app \
  --name app-main \
  my-registry.io/my-app:v1.0

# 3. サイドカー：Envoyプロキシ
podman run -d --pod my-app \
  --name app-envoy \
  docker.io/envoyproxy/envoy:v1.31

# 4. サイドカー：ログコレクター
podman run -d --pod my-app \
  --name app-logger \
  docker.io/fluent/fluentd:v1.17

# 5. サイドカー：メトリクスコレクター
podman run -d --pod my-app \
  --name app-metrics \
  docker.io/prom/node-exporter:v1.8

# Podのステータスを確認
podman pod inspect my-app

# ステップ1：ローカルでPodを構成
podman pod create --name webapp --publish 8080:80

podman run -d --pod webapp \
  --name webapp-nginx \
  -v ./html:/usr/share/nginx/html:Z \
  docker.io/library/nginx:alpine

podman run -d --pod webapp \
  --name webapp-redis \
  docker.io/library/redis:7-alpine

# ステップ2：Kubernetes YAMLを生成
podman kube generate webapp -f webapp-k8s.yaml

# ステップ3：生成されたYAMLを確認
cat webapp-k8s.yaml

# webapp-k8s.yaml (podman kube generateにより自動生成)
apiVersion: v1
kind: Pod
metadata:
  creationTimestamp: '2026-03-01T09:00:00Z'
  labels:
    app: webapp
  name: webapp
spec:
  containers:
    - name: webapp-nginx
      image: docker.io/library/nginx:alpine
      ports:
        - containerPort: 80
          hostPort: 8080
          protocol: TCP
      volumeMounts:
        - mountPath: /usr/share/nginx/html
          name: html-host
    - name: webapp-redis
      image: docker.io/library/redis:7-alpine
  volumes:
    - name: html-host
      hostPath:
        path: /home/user/project/html
        type: Directory

# ステップ4：生成されたYAMLをKubernetesクラスターに適用
kubectl apply -f webapp-k8s.yaml

# または別のPodmanホストで同じYAMLを実行
podman kube play webapp-k8s.yaml

# Serviceオブジェクトも一緒に生成
podman kube generate -s webapp -f webapp-with-service.yaml

# Deploymentタイプで生成（レプリカ数指定）
podman kube generate --type deployment --replicas 3 webapp

# DaemonSetやJobタイプでも生成可能
podman kube generate --type job webapp

+-----------------------------------------------------------+
|            Podman <-> Kubernetes 双方向ワークフロー         |
|                                                           |
|   ローカル開発                     Kubernetesクラスター    |
|   +---------+                       +-------------+      |
|   | podman  |   podman kube generate| kubectl     |      |
|   | pod     | --------------------->| apply -f    |      |
|   | create  |                       |             |      |
|   | + run   |   podman kube play    | Deployment  |      |
|   |         | <---------------------| export      |      |
|   +---------+                       +-------------+      |
|                                                           |
|   * 同じYAML、同じセマンティクス                          |
|   * 環境間の変換が不要                                    |
+-----------------------------------------------------------+

Container -> TAPデバイス -> slirp4netns (ユーザー空間NAT) -> ホストネットワーク

+-------------------------------------------------------------+
|            slirp4netns vs Pasta アーキテクチャ比較            |
|                                                              |
|  +- slirp4netns (レガシー) ---------------------------------+|
|  |                                                          ||
|  |  コンテナ            ユーザー空間           ホスト       ||
|  |  +-------+    +------------------+    +----------+       ||
|  |  | eth0  |--->|  slirp4netns     |--->| Host     |       ||
|  |  | (TAP) |    |  +------------+  |    | Network  |       ||
|  |  +-------+    |  | ユーザー空間|  |    +----------+       ||
|  |               |  | TCP/IP     |  |                       ||
|  |               |  | + NAT      |  |  <- 全パケットNAT処理||
|  |               |  +------------+  |  <- CPUオーバーヘッド大||
|  |               +------------------+                       ||
|  +----------------------------------------------------------+|
|                                                              |
|  +- Pasta (Podman 5.0+デフォルト) --------------------------+|
|  |                                                          ||
|  |  コンテナ            カーネル空間           ホスト       ||
|  |  +-------+    +------------------+    +----------+       ||
|  |  | eth0  |--->| L2->L4ソケット   |--->| Host     |       ||
|  |  | (TAP) |    |  マッピング       |    | Network  |       ||
|  |  +-------+    |  +------------+  |    | cfg copy |       ||
|  |               |  | splice(2)  |  |    +----------+       ||
|  |               |  | sendmmsg() |  |                       ||
|  |               |  | recvmmsg() |  |                       ||
|  |               |  +------------+  |  <- NATなし           ||
|  |               +------------------+  <- 直接ソケット転送  ||
|  +----------------------------------------------------------+|
|                                                              |
+-------------------------------------------------------------+

# PastaはPodman 5.0+でデフォルト
# 明示的に指定する場合：
podman run --network=pasta -d nginx

# slirp4netnsにフォールバックする場合：
podman run --network=slirp4netns -d nginx

# Pastaポートフォワーディング（特定ポートのみ公開）
podman run --network=pasta:-T,8080,-U,5353 -d my-app

# Pastaネットワーキングのステータス確認
podman inspect --format '{{.HostConfig.NetworkMode}}' <container>

# macOS
brew install podman
podman machine init --cpus 4 --memory 8192 --disk-size 60
podman machine start

# RHEL/CentOS/Fedora
sudo dnf install -y podman

# Ubuntu/Debian
sudo apt-get install -y podman

# Windows
winget install RedHat.Podman

# ~/.bashrc または ~/.zshrc
alias docker=podman

# Docker Socket互換性（Docker APIを使用するツール向け）
# macOS:
podman machine stop
podman machine set --rootful
podman machine start

# Linux (rootless):
systemctl --user enable --now podman.socket
export DOCKER_HOST=unix://$XDG_RUNTIME_DIR/podman/podman.sock

# 方法1: podman compose（Podman 5.x組み込みサポート）
podman compose up -d

# 方法2: podman-compose（Pythonベースのスタンドアロンツール）
pip install podman-compose
podman-compose up -d

# 方法3: Kubernetes YAMLに変換（推奨）
# docker-compose.ymlをKubernetes YAMLに変換後
podman kube play my-stack.yaml

# GitHub Actionsの例
jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Install Podman
        run: |
          sudo apt-get update
          sudo apt-get install -y podman

      - name: Build Image
        run: podman build -t my-app:${{ github.sha }} .

      - name: Push to Registry
        run: |
          podman login -u ${{ secrets.REGISTRY_USER }} \
                       -p ${{ secrets.REGISTRY_PASS }} \
                       registry.example.com
          podman push my-app:${{ github.sha }} \
                      registry.example.com/my-app:${{ github.sha }}

+-------------------------------------------------------------+
|                   Podmanの5つの革新まとめ                     |
|                                                              |
|  +-------------+   デーモンの除去    -> 安定性              |
|  | 革新1       |   SPOFの排除        -> コンテナの自律性    |
|  | デーモンレス|   systemd統合       -> OSネイティブ管理    |
|  +-------------+                                            |
|                                                              |
|  +-------------+   rootの除去        -> 攻撃面の最小化     |
|  | 革新2       |   User Namespace    -> UID分離            |
|  | ルートレス  |   最小Capabilities  -> コンプライアンス   |
|  +-------------+                                            |
|                                                              |
|  +-------------+   変換の除去        -> 開発/運用言語統一  |
|  | 革新3       |   K8s YAML直接実行  -> 環境間一貫性       |
|  | play kube   |   コンベンションビルド -> ワークフロー簡素化|
|  +-------------+                                            |
|                                                              |
|  +-------------+   抽象化の除去      -> K8sと同じ単位      |
|  | 革新4       |   ネイティブPod     -> ローカルサイドカー |
|  | Pod管理     |   generate kube     -> 双方向ワークフロー |
|  +-------------+                                            |
|                                                              |
|  +-------------+   NATの除去         -> レイテンシ削減     |
|  | 革新5       |   L2-L4ソケットマッピング -> スループット向上|
|  | Pasta       |   splice(2)         -> ゼロコピー転送     |
|  +-------------+                                            |
|                                                              |
|  * 共通哲学：不要なものを取り除くことで                      |
|    本質的な価値を最大化する                                  |
+-------------------------------------------------------------+