在 RHEL 8.10 环境中，root 用户执行 podman ps 正常，但切换到 oracle 普通用户后却报错。这个问题看起来像磁盘空间不足，实际关键点在于 rootless Podman 依赖的 User Namespace 没有启用。

01 | 问题现象

root 用户执行正常：

podman ps

返回：

CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES

切换到 oracle 用户后：

su - oracle
podman ps

报错如下：

cannot clone: No space left on device
user namespaces are not enabled in /proc/sys/user/max_user_namespaces
Error: cannot re-exec process

这里最关键的一行是：

user namespaces are not enabled in /proc/sys/user/max_user_namespaces

它说明当前系统没有为普通用户启用 User Namespace，因此 rootless Podman 无法正常启动。

02 | 根因定位

Rootless Podman 依赖 Linux User Namespace。可以先检查当前配置：

cat /proc/sys/user/max_user_namespaces

如果输出为：

0

就表示 User Namespace 被禁用。

本次环境中还发现了多个 sysctl 配置文件：

/etc/sysctl.conf
/etc/sysctl.d/99-sysctl.conf

其中都配置了：

user.max_user_namespaces = 0

这会带来一个容易忽略的问题：即使新增了下面的配置文件：

/etc/sysctl.d/99-podman.conf
user.max_user_namespaces = 28633

执行：

sysctl --system

之后，配置仍可能被后面的 user.max_user_namespaces = 0 覆盖，导致问题没有真正解决。

03 | 解决步骤

① 启用 User Namespace

建议统一保留一个有效配置，例如：

user.max_user_namespaces = 28633

或者：

user.max_user_namespaces = 65536

然后重新加载 sysctl 配置：

sysctl --system

确认当前值：

cat /proc/sys/user/max_user_namespaces

期望输出为：

28633

或者：

65536

只要该值大于 0，rootless Podman 就具备继续运行的基础条件。

② 配置普通用户 UID/GID 映射

继续检查 oracle 用户是否配置了 subuid 和 subgid：

grep '^oracle:' /etc/subuid /etc/subgid

如果没有结果，可以执行：

usermod \
 --add-subuids 100000-165535 \
 --add-subgids 100000-165535 \
 oracle

确认结果应类似：

/etc/subuid:oracle:100000:65536
/etc/subgid:oracle:100000:65536

③ 检查辅助工具

还需要确认 newuidmap 和 newgidmap 存在：

which newuidmap
which newgidmap

期望输出：

/usr/bin/newuidmap
/usr/bin/newgidmap

04 | 最后验证

重新切换到普通用户：

su - oracle

执行：

podman ps

如果正常返回：

CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES

说明 rootless Podman 已经可以正常工作。

user.max_user_namespaces 表示系统允许创建的 User Namespace 最大数量。0 表示禁用，rootless Podman 无法使用；28633 和 65536 都是可用配置。对于需要运行 rootless Podman 的 RHEL/ODA 环境，重点不是固定某个数字，而是确保该值大于 0，并避免被其他 sysctl 配置覆盖。

关注我，和AI一起成长~