Docker中能否在只读绑定挂载目录上叠加tmpfs挂载？

使用docker run命令时，默认无法直接在只读绑定挂载的目录之上嵌套挂载tmpfs文件系统，提问中排查的故障根因完全准确。 #

复现场景 #

• 父目录为可写绑定挂载时，命令可正常执行：

docker run --rm -it -v "$PWD:/x" --tmpfs /x/y -w /x alpine:latest sh

• 父目录为只读绑定挂载时，命令执行失败，调整参数声明顺序、将--tmpfs参数替换为--mount type=tmpfs,destination=/x/y写法都会触发相同错误：

docker run --rm -it -v "$PWD:/x:ro" --tmpfs /x/y -w /x alpine:latest sh

返回报错信息如下：

docker: Error response from daemon: OCI runtime create failed:
container_linux.go:380:
starting container process caused:
process_linux.go:545:
container init caused:
rootfs_linux.go:76:
mounting "tmpfs" to rootfs at "/x/y" caused:
mkdir /var/lib/docker/overlay2/91a0f0934fbaa8cd1fc2c322feca2912f68af2a7520df3a49a5f129153ac8627/merged/x/y:
read-only file system: unknown.

故障根因 #

Docker在执行嵌套挂载操作时，会先在父挂载对应的文件系统中创建目标挂载点目录（即本次场景中的/x/y路径）。当父目录配置为只读绑定挂载时，创建目录的写入操作会被只读权限拦截，直接触发文件系统只读错误，和参数的写法、声明顺序没有关系。 #

实现方案 #

可以通过以下两种方式实现「只读父目录+子目录挂载tmpfs」的效果：

• 方案1：提前在宿主机源目录创建挂载点子目录
  执行docker run命令前，先在宿主机的$PWD路径下创建y子目录。只读绑定挂载会把宿主机已有的目录结构完整映射进容器，挂载点目录已经存在时，Docker不需要执行创建目录的写入操作，即可直接将tmpfs挂载到对应路径，不会触发只读报错。
• 方案2：使用Docker托管卷作为只读挂载层
  不直接绑定宿主机目录，改用Docker创建的托管卷挂载到/x路径并设置为只读，再在/x/y路径挂载tmpfs。托管卷的目录结构由Docker自身维护，提前创建挂载点的操作不会受宿主机目录权限限制，可以正常完成挂载流程。

内容的提问来源于stack exchange，提问作者Arc