无Root模式Docker容器中DBus系统连接失败问题求助

问题核心原因 #

你遇到的REJECTED EXTERNAL错误，本质是DBus系统总线的访问控制策略阻止了容器映射后的用户访问。虽然你已经通过setfacl开放了套接字的文件权限，但DBus还会通过自身的策略文件校验请求用户的主机UID（容器内UID 1000映射到主机的100999），默认策略不允许该UID访问系统总线。

具体解决步骤 #

1. 修改主机DBus系统总线策略 #

编辑主机上的DBus系统配置文件/etc/dbus-1/system.d/org.freedesktop.DBus.conf，在文件末尾的</busconfig>标签之前添加针对映射后UID（100999）的访问规则：

<policy user="100999">
    <!-- 允许基本DBus交互 -->
    <allow send_destination="org.freedesktop.DBus"/>
    <allow receive_sender="org.freedesktop.DBus"/>
    <!-- 允许监控系统总线 -->
    <allow own="org.freedesktop.DBus.Monitor"/>
    <allow send_interface="org.freedesktop.DBus.Monitoring"/>
</policy>

如果只是测试需求，可以用更宽松的规则（生产环境不建议）：

<policy user="100999">
    <allow everything/>
</policy>

2. 重启主机DBus服务 #

让配置生效：

sudo systemctl restart dbus

3. 重新测试容器内的DBus监控 #

重新启动容器，切换到test用户后执行：

dbus-monitor --system

此时应该能获得和主机相同的监控输出。

额外说明 #

• 特权模式无法解决问题的原因：特权模式只是提升容器内的权限，但DBus的访问控制是基于主机UID的策略校验，和容器内权限无关。
• UID映射验证：可以在主机上通过cat /etc/subuid确认容器内UID 1000对应的主机UID范围，确保你设置的100999在这个范围内。

内容的提问来源于stack exchange，提问作者wolfy