RHEL 10 Quadlet：把 rootless 容器交给 systemd --user

Quadlet 是 Podman 5 的 systemd 集成：写一个 .container 文件，systemd 生成对应 service，不需要手写 ExecStart=podman run ...。本页用 rootless Podman 把 UBI10 容器做成用户服务。

验证范围

在 PVE 390 rhel10-lab（RHEL 10.2）以 cloud-user 执行：

mkdir -p ~/.config/containers/systemd
cat > ~/.config/containers/systemd/hello.container <<'EOF'
[Unit]
Description=Hello UBI10

[Container]
Image=registry.access.redhat.com/ubi10/ubi-minimal
Exec=sleep infinity

[Install]
WantedBy=default.target
EOF
systemctl --user daemon-reload
systemctl --user start hello.service
systemctl --user status hello.service
podman ps

E3 记录：plans/content-expansion/evidence/rhel/rhel-quadlet/run.json（10 步，含 unit/生成 service/linger/stop 的输出 sha256）。

先给结论：Quadlet 是“声明式 podman run”

unit 文件放 ~/.config/containers/systemd/（rootless）或 /etc/containers/systemd/（rootful）；
文件名 hello.container → 生成 hello.service；
[Container] 段写 Image/Exec/Volume/PublishPort；
[Install] WantedBy=default.target 决定是否随用户会话启动；
daemon-reload 才会重新生成 unit。

写 unit 并启动

$ systemctl --user cat hello.service
[Unit]
Description=Hello UBI10
...

Loaded: loaded (.../hello.container; generated) 说明是 Quadlet 生成的，不是手写 unit。

$ systemctl --user start hello.service
$ systemctl --user is-active hello.service
active
$ podman ps
system-hello  registry.access.redhat.com/ubi10/ubi-minimal:latest  Up 2 seconds

容器名默认是 system-<unit名>。

linger：退出登录后还要跑

loginctl show-user cloud-user -p Linger
# Linger=no
loginctl enable-linger cloud-user
loginctl show-user cloud-user -p Linger
# Linger=yes

没有 linger，最后一个会话退出后 systemd --user 会被清掉，服务跟着停。服务器上的用户级服务基本都要开 linger。

停止与清理

systemctl --user stop hello.service
podman ps -a
# 空

Quadlet 的 stop 会把容器删掉（不是只停）。要保留数据，把数据放 volume/宿主目录，不要依赖容器可写层。

删除 unit：

rm ~/.config/containers/systemd/hello.container
systemctl --user daemon-reload
systemctl --user cat hello.service
# No files found for hello.service.

常见失败

现象	原因	处置
`Unit hello.service not found`	没 daemon-reload / 路径不对	放对目录，`systemctl --user daemon-reload`
服务启动即退出	Image/Exec 写错	`journalctl --user -u hello.service`
退出 SSH 后服务停	没 enable-linger	`loginctl enable-linger <user>`
端口绑定失败	rootless 不能绑 <1024	改高位端口或调 `ip_unprivileged_port_start`