SELinux拦截容器访问主机的本质是安全策略拒绝容器进程对挂载路径、端口等资源的访问；需通过:Z/:z挂载选项、布尔值开关或手动调整文件上下文来显式授权，而非禁用SELinux。
selinux 拦截容器访问主机，本质是安全策略拒绝了容器进程对挂载路径、端口或网络资源的访问。它不是 docker 本身的问题，而是系统级强制访问控制在起作用。解决关键在于让 selinux 明确允许容器行为，而不是绕过它。
确认 SELinux 确实是元凶
别猜，先验证：
- 运行 sestatus，确认输出为 enabled 且 current mode 是 enforcing
- 查看容器日志（docker logs ）或系统审计日志（sudo ausearch -m avc -ts recent | audit2why），如果看到类似 avc: denied { read } for ... scontext=system_u:system_r:container_t:s0 的条目，就是 SELinux 在拦截
- 临时切到宽容模式测试：sudo setenforce 0，若问题立刻消失，基本锁定 SELinux
推荐：用 :Z 或 :z 挂载选项自动适配
这是最简单、最安全、也最符合 Docker 设计意图的方式。它让 Docker 自动为挂载目录打上正确的 SELinux 标签，无需手动改配置。
- :Z —— 用于单个容器独占使用的卷（如数据库数据目录），标签更严格，其他容器无法访问
- :z —— 用于多个容器共享的卷（如日志目录、配置文件），标签允许跨容器读写
- 示例：docker run -v /home/user/models:/app/models:Z，Docker 会自动执行 chcon -Rt container_file_t 类似操作
补充：针对特定服务启用容器网络布尔值
如果问题出在容器间通信或绑定宿主机端口失败（比如 curl 宿主机服务超时、容器监听端口外部连不上），可能需要放开 SELinux 对容器网络的限制：
- 运行 sudo setsebool -P container_manage_cgroup on
- 运行 sudo setsebool -P container_connect_any on（允许容器连接任意端口）
- 运行 sudo setsebool -P container_use_ceph on（如有 Ceph 存储）
- 这些布尔值是 SELinux 预定义的开关，启用后无需重启，立即生效
不推荐但可应急：临时调整文件上下文
当 :Z/:z 不适用（比如挂载的是只读系统路径），可手动修正文件标签：
- 查当前标签：ls -Z /path/to/host/dir
- 设为容器可读：sudo chcon -Rt svirt_sandbox_file_t /path/to/host/dir
- 若提示 “Operation not supported”，说明文件系统不支持扩展属性（如 NFS、某些挂载点），此时应改用 :Z 方式或换本地路径
- 永久生效需配合 semanage：sudo semanage fcontext -a -t svirt_sandbox_file_t "/path/to/dir(/.*)?"，再运行 sudo restorecon -R /path/to/dir
