Docker构建报错configure: error: write failure creating ./config.status求助

1. 定位SOC策略的具体限制 #

• 先排查系统上的SOC相关安全工具（Linux Mint默认用AppArmor），找出针对Docker构建的限制规则：
  • 查看AppArmor当前状态：sudo aa-status
  • 检查Docker相关的AppArmor配置：sudo cat /etc/apparmor.d/docker
  • 查阅最近的策略更新日志：sudo grep -i "apparmor\|soc" /var/log/syslog | tail -20
• 重点关注是否有阻止容器内写入临时文件（比如./config.status）、限制pecl/docker-php-ext-install这类命令执行的规则。

2. 调整Docker构建的AppArmor策略 #

• 临时验证方案：构建时直接关闭AppArmor限制，测试是否解决问题：

  docker build --security-opt apparmor=unconfined .
  

  或在docker-compose.yml中添加配置：

  services:
    your-service-name:
      build: .
      security_opt:
        - apparmor:unconfined
  

• 持久化配置：临时验证有效后，修改默认策略避免后续重复出现问题：
  1. 复制默认Docker配置文件：sudo cp /etc/apparmor.d/docker /etc/apparmor.d/docker-custom
  2. 编辑/etc/apparmor.d/docker-custom，添加以下规则：

     # 允许容器内写入构建临时文件
     /tmp/** rw,
     /var/tmp/** rw,
     /usr/src/php/** rw,
     # 允许构建相关命令执行
     /usr/bin/pecl ix,
     /usr/bin/docker-php-ext-install ix,
     /usr/bin/phpize ix,
     /usr/bin/configure ix,
     

  3. 加载新配置：sudo apparmor_parser -r /etc/apparmor.d/docker-custom
  4. 修改Docker daemon配置/etc/docker/daemon.json，指定默认使用自定义策略：

     {
       "default-apparmor-profile": "docker-custom"
     }
     

  5. 重启Docker服务：sudo systemctl restart docker

3. 处理第三方SOC工具的全局规则 #

如果是企业级第三方SOC安全软件导致的拦截：

• 打开工具的规则管理界面，查找针对docker build、pecl、configure等命令的拦截条目
• 将以下内容添加到工具白名单：
  • 容器内路径：/tmp、/var/tmp、/usr/src/php
  • 命令：pecl、docker-php-ext-install、phpize、configure

4. 验证解决方案 #

• 执行docker build .或docker compose up，确认pecl install xdebug、docker-php-ext-install mysql命令正常完成
• 检查系统日志确认无新拦截记录：sudo grep -i "denied\|blocked" /var/log/syslog | tail -10

内容的提问来源于stack exchange，提问作者Pierre