Docker容器创建后无法访问主机后续挂载的CIFS目录，属正常行为吗？如何解决

问题分析与解答 #

1. 该现象属于正常行为 #

这是Linux挂载机制和Docker bind mount的特性导致的：

• 当你用docker run -v /tmp:/tmp创建容器时，Docker会在容器的mount namespace中建立bind mount，将主机的/tmp目录挂载到容器内的/tmp。此时容器内的/tmp指向主机/tmp的当前挂载层。
• 后续在主机上对/tmp/mnt进行CIFS挂载时，这是在主机的mount namespace中新增了子挂载层，但容器的mount namespace不会自动同步这个后续操作，因此容器内看到的/tmp/mnt还是原来的空目录，而非挂载后的CIFS共享内容。
• 若先完成CIFS挂载再创建容器，Docker在建立bind mount时会直接关联到已挂载CIFS的/tmp/mnt层级，因此容器内可以正常访问。

2. 让已创建容器访问后续挂载目录的方法 #

方法一：在容器内部直接挂载CIFS

需要给容器赋予足够权限执行挂载操作：

1. 进入容器：

   docker exec -it <你的容器ID或名称> bash
   

2. 安装CIFS工具（Ubuntu容器）：

   apt update && apt install -y cifs-utils
   

3. 执行挂载命令：

   mount -t cifs -o username=XX,password=XX,domain=XX //hostname/share /tmp/mnt
   

   注意：创建容器时需添加特权权限，比如启动时加--privileged，或精细添加能力：--cap-add=SYS_ADMIN --cap-add=DAC_READ_SEARCH，否则容器内无法执行挂载。

方法二：通过主机的nsenter工具同步挂载

利用Linux namespace工具，将主机已挂载的CIFS目录同步到容器的mount namespace：

1. 获取容器的PID：

   docker inspect --format '{{.State.Pid}}' <你的容器ID或名称>
   

2. 进入容器的mount namespace并执行bind mount：

   nsenter -t <上述获取的PID> -m -- mount --bind /tmp/mnt /tmp/mnt
   

   这种方式无需重启容器，但挂载是临时的，容器重启后需重新执行操作。

内容的提问来源于stack exchange，提问作者jaudo