Podman 6.0 릴리스 — 도커 없이 컨테이너를 돌린다는 것

컨테이너 하면 자동으로 도커를 떠올리는 분들 많으시죠. 그런데 도커 말고도 아주 탄탄한 선택지가 하나 있어요. 바로 레드햇이 주도해온 오픈소스 컨테이너 엔진 Podman인데요, 이 Podman이 메이저 버전인 6.0.0을 내놨어요. 2024년 초에 5.0이 나온 뒤 2년여 만의 메이저 업데이트라서, 도커의 대안이 얼마나 성숙했는지 돌아보기 좋은 타이밍이에요.

Podman이 뭐냐면

Podman은 한마디로 '데몬 없는 도커'예요. 도커는 dockerd라는 데몬, 그러니까 백그라운드에 항상 떠 있는 관리자 프로세스가 모든 컨테이너를 관리하는 구조거든요. 우리가 docker run을 치면 CLI가 이 데몬에게 부탁하고, 데몬이 실제 작업을 하는 방식이에요. 이 구조에는 약점이 있어요. 데몬이 죽으면 컨테이너 관리가 통째로 흔들리고, 전통적으로 root 권한으로 돌기 때문에 데몬이 뚫리면 시스템 전체가 위험해지는 단일 지점이 되는 거죠.

Podman은 이 데몬을 아예 없애버렸어요. podman run을 치면 그 명령이 직접 컨테이너 프로세스를 자식 프로세스로 띄워요. 중간 관리자가 없으니 단일 장애점도 없고, 컨테이너가 일반 리눅스 프로세스처럼 시스템에 자연스럽게 녹아들어요. 그리고 처음부터 rootless, 그러니까 관리자 권한 없이 일반 사용자 권한만으로 컨테이너를 돌리는 걸 핵심 기능으로 설계했어요. 컨테이너 하나가 뚫려도 피해가 그 사용자 권한 안으로 제한되니까 보안 면에서 큰 차이가 있죠.

그런데 갈아타는 부담은 놀랄 만큼 적어요. Podman은 도커 CLI와의 호환을 목표로 만들어져서, 셸에 alias docker=podman 한 줄만 넣어도 기존 습관 대부분이 그대로 통하거든요. Dockerfile도 그대로 빌드되고, 도커 허브 같은 표준 레지스트리의 이미지도 그대로 받아써요. 컨테이너 이미지와 런타임이 OCI라는 공개 표준으로 통일된 덕분이에요.

도커와 다른 Podman만의 색깔

이름에서 알 수 있듯 Podman은 파드(Pod)라는 개념을 기본으로 품고 있어요. 파드가 뭐냐면, 쿠버네티스에서 쓰는 배포 단위로, 네트워크를 공유하는 컨테이너 묶음이에요. Podman에서는 로컬에서도 파드 단위로 컨테이너를 묶어 돌릴 수 있고, 돌아가는 파드를 쿠버네티스 YAML로 뽑아내거나 반대로 쿠버네티스 YAML을 로컬에서 바로 실행할 수도 있어요. 로컬 개발 환경과 운영 환경의 간극이 확 줄어드는 거죠.

또 하나의 무기는 Quadlet이에요. 리눅스 서버에서는 서비스를 systemd로 관리하잖아요. Quadlet을 쓰면 컨테이너를 systemd 유닛 파일 몇 줄로 정의해서, 부팅 시 자동 시작이나 재시작 정책 같은 걸 운영체제 표준 방식으로 관리할 수 있어요. 쿠버네티스까지는 필요 없는 단일 서버 운영에서 특히 빛나는 기능이에요. 맥이나 윈도우에서는 podman machine이 경량 가상 머신을 띄워서 리눅스 컨테이너를 돌려주고요. 참고로 6.0은 메이저 버전인 만큼 기존 동작이 바뀌는 부분이 있을 수 있으니, 운영 환경에서 쓰고 계신 분이라면 공식 릴리스 노트에서 호환성 변경 사항을 꼭 확인하고 올리시는 걸 추천해요.

업계 맥락

Podman이 주목받게 된 배경에는 도커 데스크톱의 유료화도 있었어요. 일정 규모 이상 기업에서 도커 데스크톱이 유료가 되면서 많은 팀이 대안을 찾기 시작했고, Podman Desktop, Rancher Desktop, OrbStack 같은 선택지가 부상했거든요. 더 크게 보면 컨테이너 세계가 '도커라는 단일 제품'에서 'OCI 표준 위의 여러 구현체'로 재편된 흐름이 있어요. 쿠버네티스가 도커 대신 containerd를 쓰게 된 것도 같은 맥락이고요. Podman은 그 표준화 흐름의 가장 큰 수혜자이자 기여자예요.

한국 개발자에게 주는 시사점

당장 실무에 도움이 되는 지점이 몇 가지 있어요. 첫째, CI 환경이에요. rootless 컨테이너는 빌드 파이프라인에서 권한 사고의 범위를 줄여주니까, 보안 심사가 까다로운 조직일수록 검토할 가치가 있어요. 둘째, RHEL이나 그 계열(Rocky, Alma) 서버를 쓰는 곳이라면 Podman이 기본 제공이라 도커를 따로 설치할 필요가 없고요. 셋째, 쿠버네티스로 배포하는 팀이라면 로컬에서 파드 단위로 실험해보는 워크플로가 꽤 쓸모 있어요. 개인적으로는 systemd와 Quadlet 조합이 사이드 프로젝트 서버 운영에 정말 편해서 추천드려요.

정리하면, Podman 6.0은 '컨테이너는 곧 도커'라는 등식이 옛말이 됐다는 걸 보여주는 릴리스예요. 여러분 팀은 어떤 컨테이너 도구를 쓰고 계세요? 도커에서 갈아타보셨거나, 반대로 갈아탔다가 돌아온 경험이 있다면 이야기 들려주세요.