在Linux中使用Docker Compose为容器添加安全标签需通过security_opt配置，前提是宿主机已启用并正确配置SELinux或AppArmor；在docker-compose.yml中为服务指定label=type:xxx或apparmor:profile名，并验证容器进程上下文生效。
在 Linux 中使用 Docker Compose 为容器添加特定的安全标签（Security Labels），主要是通过 security_opt 配置项实现，常见于 SELinux 或 AppArmor 环境。关键在于宿主机已启用对应的安全模块，并预先定义好所需标签（如 SELinux 的 type、role、user 或 AppArmor 的配置名）。
确认宿主机安全模块已启用并配置就绪
Compose 本身不管理底层安全策略，只传递配置。因此必须先确保：
- SELinux：运行
sestatus确认状态为enabled，且策略已加载（如targeted）；必要时用semanage fcontext和restorecon设置文件上下文 - AppArmor：检查
aa-status输出是否显示已启用，并确认目标 profile 已加载（如/etc/apparmor.d/docker-nginx存在且已apparmor_parser -r加载） - 当前用户有权限应用安全选项（通常需 root 或 docker 组权限）
在 docker-compose.yml 中设置 security_opt
在服务定义下使用 security_opt 字段传入标签。格式取决于所用模块：
- SELinux 示例（指定类型和角色）：
security_opt:
- "label=type:svirt_lxc_net_t"
- "label=role:system_r" - AppArmor 示例（指定 profile 名）：
security_opt:
- "apparmor:docker-nginx" - 可同时混用（如 SELinux + AppArmor），但需宿主机支持双模块共存（较罕见，多数系统只启用其一）
验证容器是否正确应用了标签
启动服务后，通过以下方式确认：
- 查看容器进程的 SELinux 上下文：
docker inspect <container> | grep -i label（仅显示 Compose 配置值）
更可靠的是进容器查进程：docker exec <container> ps -eZ | head -3 - 对 AppArmor，运行：
docker exec <container> cat /proc/1/attr/current，应返回类似unconfined或docker-nginx (enforce) - 若标签未生效，检查 Docker daemon 是否启用了对应模块（如
dockerd --selinux-enabled或--apparmor-profile参数）
注意事项与常见问题
实际使用中容易忽略的细节：
-
security_opt是每个服务独立配置的，不能在顶层或 network/volume 中设置 - SELinux 标签中的
type必须是宿主机策略中允许 LXC/Docker 使用的类型（如svirt_lxc_net_t、container_t），自定义 type 需手动编译策略模块 - AppArmor profile 名必须与
/etc/apparmor.d/下文件名或aa-status列出的 loaded profile 名完全一致（不含路径和扩展名） - Compose v2.20+ 支持
security_opt的 YAML list 语法，旧版本建议用字符串数组写法避免解析错误
