Docker n'est pas le seul moteur de conteneurs : Podman, containerd ou Buildah permettent de construire et d'exécuter des conteneurs OCI. Découvrir ces alternatives clarifie ce qu'est réellement un conteneur.
Points clés
- Podman et le mode rootless
- Le standard OCI
- Sous le capot : namespaces et cgroups
Podman et le mode rootless
Podman exécute des conteneurs sans démon central et nativement en mode rootless, ce qui renforce la sécurité car un conteneur compromis n'a pas les droits root de l'hôte. Sa CLI est compatible avec celle de Docker (on peut aliaser docker=podman), ce qui facilite la transition. C'est un excellent support pour enseigner l'isolation des privilèges.
Le standard OCI
Les images Docker, Podman ou Buildah suivent toutes le standard OCI (Open Container Initiative), garantissant l'interopérabilité : une image construite avec Buildah s'exécute avec Podman, containerd ou Docker. On enseigne ainsi qu'un conteneur n'est pas propriétaire mais un format ouvert, ce qui désacralise l'outil Docker.
Sous le capot : namespaces et cgroups
Un conteneur n'est pas une VM : c'est un processus isolé par les namespaces Linux (PID, réseau, montage) et limité par les cgroups (CPU, mémoire). Le montrer avec des outils bas niveau comme runc ou même unshare aide les apprenants à comprendre qu'il n'y a pas de magie, seulement des fonctionnalités du noyau Linux.
En pratique
Scénario. TP de 2 heures sous Linux : installer Podman, lancer un conteneur en rootless, construire une image avec Buildah, puis vérifier l'isolation avec ps et lsns pour observer les namespaces. Comparer avec un conteneur Docker équivalent. Livrable : une même image OCI exécutée par deux moteurs différents, et une note expliquant namespaces et cgroups.
Questions fréquentes
Podman peut-il remplacer Docker en production ?
Oui dans beaucoup de cas, notamment grâce au mode rootless et à la compatibilité OCI. Podman propose même podman generate kube pour produire des manifestes Kubernetes.
Qu'est-ce que le standard OCI ?
C'est la spécification ouverte des formats d'image et d'exécution de conteneurs, garantissant qu'une image fonctionne quel que soit le moteur conforme (Docker, Podman, containerd).
Pour aller plus loin
Pour approfondir : Apprendre terraform pas a pas · Automatiser avec ansible. Et le reste de nos ressources pour les écoles, OF et formateurs.
Besoin d'un formateur expert ou envie de transmettre ?
tonformateur connecte les écoles et organismes de formation avec des intervenants experts du terrain.
Voir les cours à pourvoir Explorer l'annuaire d'outils →