Podman vs Docker: por que times escolhem contêineres sem privilégios de root

Há um risco de segurança significativo no Docker Engine padrão: qualquer usuário adicionado ao grupo docker ganha acesso de root à máquina hospedeira. Isso acontece porque o daemon do Docker (dockerd) executa com privilégios de root e obedece comandos enviados através de um socket Unix — um desenvolvedor poderia, por exemplo, montar o sistema de arquivos inteiro e modificar arquivos do host. O próprio Docker documenta explicitamente esse risco.

O Podman oferece uma abordagem diferente ao eliminar um daemon central e suportar contêineres, pods e serviços Quadlet sem privilégios de root por padrão. Embora o Docker Engine tenha um modo sem root disponível, ele não é a configuração padrão e frequentemente não está ativado em servidores de produção, tornando o Podman uma escolha preferida em ambientes que priorizam segurança.