:Z表示私有SELinux标签，仅当前容器可访问；:z表示共享标签，允许多容器读写。两者均将目录SELinux类型设为container_file_t，避免AVC拒绝。
在 bindmount 中加 :z 选项，是让 podman（或 docker）自动为宿主机目录设置正确的 selinux 上下文，从而解决容器内进程因类型不匹配被拒绝访问的问题。它不是“修复报错”，而是从源头避免拒绝——关键在于让容器域（如 container_t）能合法访问该目录。
为什么需要 :Z？
默认情况下，宿主机目录（比如 /home/user/data）的 SELinux 类型可能是 user_home_t、default_t 或 var_t。而容器进程运行在 container_t 域下，SELinux 策略默认禁止 container_t 访问这些非容器专用类型。
加 :Z 后，Podman 会：
- 递归地将该目录及其所有子文件/子目录的 SELinux type 改为
container_file_t - 同时设置合适的用户（
system_u）和角色（object_r），确保上下文完整 - 该操作只影响本次挂载路径，不影响其他目录
:Z 和 :z 的区别必须分清
:Z（大写 Z）表示“私有、不可共享”：目录绑定后，SELinux 上下文被设为 container_file_t，且仅允许当前容器访问——其他容器即使挂载同一路径，也会因类型隔离被拒绝，安全性更高。
:z（小写 z）表示“共享”：同样设为 container_file_t，但允许多个容器（或宿主机进程）共同读写，适合需跨容器协作的场景，但安全边界更松。
生产环境推荐用 :Z；调试或开发中若需多个容器共用一个本地目录，再考虑 :z。
实际使用方式
启动容器时，在 -v 参数末尾直接添加 :Z：
podman run -d \ --name mydb \ -v /home/student/databases:/var/lib/mysql:Z \ -e MYSQL_ROOT_PASSWORD=redhat \ registry.lab.example.com/rhel8/mysql-80
注意：:Z 必须紧贴挂载路径之后，不能有空格，也不能写成 :Z: 或 :Z,ro 等错误格式。
验证是否生效
容器运行后，登录宿主机检查目录上下文：
ls -Z /home/student/databases
正常输出应类似：
system_u:object_r:container_file_t:s0 /home/student/databases
如果仍是 user_home_t 或显示 ?，说明 :Z 未生效，常见原因包括：
- SELinux 当前为
Disabled或Permissive模式（getenforce返回非Enforcing） - Podman 版本过旧（RHEL8/CentOS8 要求 podman ≥ 3.0）
- 目录位于 NFS、NTFS 或加密文件系统等不支持 SELinux 标签的挂载点上
遇到最后一种情况，:Z 会静默失败，此时需改用 semanage fcontext + restorecon 手动打标，或换用 Volume 方式。
