在Docker中访问主机目录的权限被拒绝

Question

概要
我试图在Docker中挂载主机目录，但是即使访问权限看起来不错，也无法从容器中访问主机目录。

细节
我在做

sudo docker run -i -v /data1/Downloads:/Downloads ubuntu bash

接着

ls -al

它给了我：

total 8892
drwxr-xr-x.  23 root root    4096 Jun 18 14:34 .
drwxr-xr-x.  23 root root    4096 Jun 18 14:34 ..
-rwxr-xr-x.   1 root root       0 Jun 18 14:34 .dockerenv
-rwx------.   1 root root 9014486 Jun 17 22:09 .dockerinit
drwxrwxr-x.  18 1000 1000   12288 Jun 16 11:40 Downloads
drwxr-xr-x.   2 root root    4096 Jan 29 18:10 bin
drwxr-xr-x.   2 root root    4096 Apr 19  2012 boot
drwxr-xr-x.   4 root root     340 Jun 18 14:34 dev
drwxr-xr-x.  56 root root    4096 Jun 18 14:34 etc
drwxr-xr-x.   2 root root    4096 Apr 19  2012 home

以及更多类似的内容（我认为这是相关的部分）。

如果我做

cd /Downloads
ls

结果是

ls: cannot open directory .: Permission denied

主机是Fedora 20，带有Docker 1.0.0和go1.2.2。

怎么了？

Answer 1

这是SELinux问题。

您可以暂时签发

su -c "setenforce 0"

在主机上访问或通过运行添加SELinux规则

chcon -Rt svirt_sandbox_file_t /path/to/volume

特别：

由于Docker最终合并了一个补丁，该补丁将在docker-1.7中显示（最近我们一直在RHEL，CentOS和Fedora的docker-1.6中携带该补丁），因此最近这样做变得更加容易。

此修补程序在卷安装（-v）上增加了对“ z”和“ Z”的支持。

例如：

docker run -v /var/db:/var/db:z rhel7 /bin/sh

将自动执行chcon -Rt svirt_sandbox_file_t /var/db手册页中所述。

更好的是，您可以使用Z。

docker run -v /var/db:/var/db:Z rhel7 /bin/sh

这将使用与容器一起运行的确切MCS标签来标记容器中的内容，基本上，每个容器chcon -Rt
svirt_sandbox_file_t -l s0:c1,c2 /var/db在s0:c1,c2不同的MCS标签上运行。