Хочется странного: докер контейнер без демона

Это не «странное». Ты описал принцип работы podman-а

Подман. Только вчера о нём узнал.

Присоединяюсь к ораторам выше!

Я правда его на домашнем сервере использую, но придраться не к чему, всё работает.

Podman уже назвали, да?

/thread

Podman уже советовали?

нужен функционал наподобие чрута, который бы транслировал запросы к определённым путям на хост, а все остальные - внутрь read-only файловой системы

systemd-nspawn с опциями --bind= или --overlay=

В юните опции RootDirectory + BindPaths

Я понятия не имею что такое Podman и никогда не сталкивался с докером и его контейнерами, но ты попробуй Podman. Возможно это именно то, что тебе нужно.

Так много комментариев и никто не догадался Podman предложить !

bubblewrap. Делается так:

$ bwrap --ro-bind путь_к_смонтированному_образу / \
        --dev-bind /dev /dev \
        --ro-bind /sys /sys \
        --proc /proc \
        --bind /var /var \
        --bind /run /run \
        --bind /tmp /tmp \
        --bind /home /home \
         ./app_binary

буду оригинален - посмотри на firejail, по умолчанию он делает не это, но думаю можно сконфигурировать.

яннп, если тебе нужен чрут и ты даже написал это, то почему бы не использовать чрут?

Потому что для чрута нужен рут (и ещё несколько неприятных моментов есть).

Огромное спасибо всем ответившим!

Действительно, похоже, судя по описаниям мне больше всего подошёл бы bubblewrap/firejail

podman интересная штука, но с его помощью можно затаскивать контейнеры, т.е. с точки зрения того, почему мне нельзя докер, это примерно одно и то же.

Сейчас, правда, я пока пытаюсь скомпилить/запаковать мою софтинку как нативные пакеты.

Потому что для чрута нужен рут (и ещё несколько неприятных моментов есть).

Есть PRoot. По факту - чрут на стероидах из под непривилегированного пользователя.

podman интересная штука, но с его помощью можно затаскивать контейнеры, т.е. с точки зрения того, почему мне нельзя докер, это примерно одно и то же.

ЯННП. Ты написал, что у тебя есть докер образ, и тебе нужно из него запустить программу, но при этом нельзя запускать никакие демоны.

Podman — это программа для запуска докер образов, которая не использует служебного демона.

Каким боком с этой точки зрения docker и podman это «одно и то же»?