安装 Docker 时同步配置 SELinux 策略可从源头避免容器启动失败、挂载拒绝等问题；需确保 SELinux 处于 Enforcing 模式，Docker 守护进程启用 selinux-enabled，宿主机目录标记为 container_file_t，容器进程指定 label=type:container_t。
安装 Docker 时就同步配置好 SELinux 策略，能从源头避免容器启动失败、挂载拒绝、Permission denied 等典型报错。关键不是“装完再补”，而是让 SELinux 上下文、Docker 启动参数、宿主机目录标记三者在一开始就对齐。
确认并启用 SELinux 基础环境
SELinux 必须处于 Enforcing 模式，且内核策略已加载：
- 运行 getenforce，输出必须是 Enforcing；若为 Permissive 或 Disabled，需先编辑 /etc/selinux/config，将 SELINUX=enforcing 写入并重启
- Ubuntu 用户需额外安装基础组件：sudo apt install selinux-basics selinux-policy-default，再执行 sudo selinux-activate
- CentOS/RHEL 可跳过安装，但需确保 policycoreutils-python-utils（含 semanage/chcon）已就位
配置 Docker 守护进程启用 SELinux 支持
仅系统开启 SELinux 不够，Docker 必须明确告知内核“我要用它”：
- 编辑 /etc/docker/daemon.json，添加：
{"selinux-enabled": true} - 重启守护进程：sudo systemctl restart docker
- 验证是否生效：docker info | grep -i "selinux" 应显示 SELinux: true
提前标记挂载路径的安全上下文
容器挂载宿主机目录时，SELinux 检查的是该目录的 type 标签，不是容器本身的标签。常见错误就是只设了容器 label，却忘了打标宿主机路径：
- 用 semanage fcontext 永久设置（推荐）：
sudo semanage fcontext -a -t container_file_t "/data(/.*)?"
然后立即生效：sudo restorecon -Rv /data - 避免使用 :Z 或 :z 挂载选项——它们会强制重标上下文，可能覆盖你预设的策略，甚至扩大访问范围
- 临时测试可用 chcon：sudo chcon -Rt container_file_t /data，但重启或 relabel 后会丢失
容器启动时显式指定安全类型
运行容器时必须声明进程所用的 SELinux 类型，否则策略不触发：
- Docker CLI：
docker run --security-opt label=type:container_t -v /data:/app/data:rw nginx - Docker Compose：
security_opt: ["label=type:container_t"]
volumes: ["/data:/app/data:rw"] - 确保 container_t 是当前策略中真实存在的类型，可查：seinfo -t | grep container
配置完成后，进容器执行 ps -eZ 看进程是否带 container_t，在宿主机执行 ls -Z /data 确认显示 container_file_t。两者都对上，权限拒绝问题基本就解除了。
