SELinux

Docker SELinux

在 Docker Compose 配置文件中，卷的声明后面带有 :z，是 SELinux（Security-Enhanced Linux）相关的选项，用于解决卷挂载时的文件访问权限问题。

---

:z 的含义

• :z：对挂载的路径应用共享访问权限，允许容器中的多个服务共享此挂载目录，同时确保 SELinux 的安全策略得以正确应用。

SELinux 是 Linux 系统的一种安全机制，默认会限制 Docker 容器访问主机上的文件。如果主机文件没有合适的 SELinux 上下文（context），容器可能会无法读取或写入挂载的卷。z 选项通过重新标记挂载的目录，允许容器访问这些目录。

---

示例

services:
  app:
    volumes:
      - .:/app:z

• 主机目录：./ 表示当前目录。
• 挂载到容器：挂载到容器内的 /app 路径。
• :z 作用：重新标记 ./ 路径，使容器能够安全地读取和写入其中的内容，即便 SELinux 开启。

---

相关选项

1. :z（共享访问权限）

   • 适用于挂载目录需要被多个容器共享访问的场景。
   • 例如：开发环境或测试环境，多个服务需要访问同一代码目录。

2. :Z（独占访问权限）

   • 适用于仅允许一个容器访问挂载目录的场景。
   • 当希望容器对挂载目录的访问具有更严格的权限控制时使用。

---

适用场景

• 如果你的主机启用了 SELinux，并且在挂载卷时遇到权限问题（如容器内无法访问卷），可以使用 :z 或 :Z 选项解决。
• 典型错误信息可能是：

  permission denied: /app

---

检查和验证

1. 验证 SELinux 是否启用：

   sestatus

   如果显示 SELinux status: enabled，说明 SELinux 已启用。

2. 查看挂载路径的上下文：

   ls -Z

   • 使用 :z 后，挂载路径的 SELinux 上下文会更新为 svirt_sandbox_file_t，允许容器访问。

---

注意事项

1. 仅在启用 SELinux 的系统上使用：

   • 如果主机未启用 SELinux，则无需添加 :z 或 :Z 选项。

2. 可能影响主机文件安全：

   • :z 会修改文件的 SELinux 上下文，在容器中运行时安全，但在主机上直接访问时可能受限。

---

总结

• :z 是为 SELinux 环境下的 Docker 挂载卷提供共享访问权限的选项。
• 主要用于解决容器内无法访问主机卷的问题，同时保持 SELinux 的安全策略。
• 如果你遇到挂载权限问题，且启用了 SELinux，可以尝试加上 :z 选项来修复问题。