fedora - 通过 Docker 容器的卷管理在主机上创建的文件的 selinux 上下文

Question

我在 Fedora 20 (docker 1.0.0) 上浏览了fig python / django教程，但是当 django-admin.py 尝试创建项目文件时，它失败并触发了 SELinux 中的 AVC 拒绝。

我查看了该政策，我可以看到在我的代码目录上设置 docker_var_lib_t 上下文将允许 docker 在那里写入（尽管我刚刚在政策中发现了 docker_share_t，这看起来更适合权限 - 没有 chr / blk 设备语境）。

代码目录位置不可预测，因此设置系统范围的策略（通过 semanage fcontext）似乎不是最好的方法；我需要介绍某种约定。

有没有办法在从主机安装的卷上自动设置这个上下文？

Answer 1

您可以在目录上设置以下上下文

chcon -Rt svirt_sandbox_file_t $HOME/code/export

然后运行你的 docker 命令

docker run --rm -it -v $HOME/code/export:/exported:ro image /foo/bar