无Root模式Docker启动容器时目录挂载权限拒绝问题排查

针对你遇到的「手动创建目录成功，但Docker daemon创建挂载目录时提示权限拒绝」的问题，核心原因是Docker daemon进程的运行上下文与你交互式shell的上下文存在差异，以下是具体排查方向和解决方案：

1. SELinux 上下文限制 #

如果你的主机启用了SELinux强制模式，Docker daemon进程的SELinux上下文（如container_runtime_t）可能没有写入目标目录的权限，而你手动创建目录时使用的交互式shell属于unconfined_t上下文，不受此限制。

解决方案：

• 在挂载参数中添加:z或:Z标签，让Docker自动调整SELinux上下文：

  docker run -d --restart unless-stopped \
      --name questdb \
      -e QDB_METRICS_ENABLED=TRUE \
      --network="host" \
      -v /my_mounted_volume/questdb:/questdb:z \
      -v /my_mounted_volume/questdb/public:/questdb/public:z \
      -v /my_mounted_volume/questdb/conf:/questdb/conf:z \
      -v /my_mounted_volume/questdb/db:/questdb/db:z \
      -v /my_mounted_volume/questdb/log:/questdb/log:z \
      questdb/questdb:6.5.2 /usr/bin/env QDB_PACKAGE=docker  /app/bin/java \
      -m io.questdb/io.questdb.ServerMain \
      -d /questdb \
      -f
  

  • :z：将目录标记为可在多个容器间共享
  • :Z：将目录标记为当前容器独占使用
• 或者手动设置目标目录的SELinux上下文：

  sudo chcon -Rt container_file_t /my_mounted_volume/questdb
  

2. Systemd服务权限限制 #

无Root权限Docker通常通过systemd用户服务启动，若服务配置中包含ProtectSystem、ReadOnlyPaths等限制性指令，会阻止daemon写入指定目录。

解决方案：

1. 打开用户级Docker服务配置文件：

   nano ~/.config/systemd/user/docker.service
   

2. 检查是否存在以下类似指令，若有则注释或删除：

   ProtectSystem=strict
   ReadOnlyPaths=/my_mounted_volume
   

3. 重新加载systemd配置并重启Docker：

   systemctl --user daemon-reload
   systemctl --user restart docker
   

3. 子UID/GID映射未正确配置 #

无Root权限Docker依赖用户的子UID/GID范围实现容器内权限隔离，若未正确配置，可能导致daemon在访问主机文件系统时出现异常权限问题。

解决方案：

1. 验证svc_test用户的子UID/GID配置：

   cat /etc/subuid | grep svc_test
   cat /etc/subgid | grep svc_test
   

2. 若输出为空，添加映射范围（替换为合适的UID区间）：

   sudo usermod --add-subuids 100000-165535 svc_test
   sudo usermod --add-subgids 100000-165535 svc_test
   

3. 重启Docker服务生效：

   systemctl --user restart docker
   

4. 挂载文件系统的特殊限制 #

如果/my_mounted_volume是远程文件系统（如NFS、SMB）或本地挂载时使用了noexec、nodev等特殊选项，可能导致Docker daemon无法创建目录（即使普通用户可以）。

解决方案：

• 检查挂载选项：

  mount | grep /my_mounted_volume
  

• 调整挂载选项，确保允许写入和文件创建操作，例如修改/etc/fstab中的配置项后重新挂载。

内容的提问来源于stack exchange，提问作者Newskooler