如何将动态挂载的USB存储设备正确透传至Docker容器

你当前配置无法看到USB内文件的核心原因有两点：

• Docker默认的bind挂载采用private挂载传播标记，容器启动时会锁定宿主机/media目录初始的inode，后续宿主机在/media路径下新增的子挂载点（即USB插入后pmount挂载的存储分区）不会同步到容器的挂载命名空间中，容器内只能看到预先创建的空目录壳，无法访问实际挂载的文件系统内容。
• 你配置的--device-cgroup-rule="c 8:* rmw"仅授予容器访问原始SCSI/SATA块设备的权限，没有解决挂载点同步问题，该规则仅在容器内部自行执行挂载操作时生效。

保留你现有宿主机侧的udev规则、systemd服务、pmount自动挂载逻辑，仅调整挂载相关配置即可：

1. 先将宿主机/media目录的挂载传播属性设置为shared，保证子挂载点可以向外传播：

   # 临时生效
   mount --make-shared /media
   # 持久化生效，写入/etc/fstab后重启不失效
   echo "none /media bind shared 0 0" >> /etc/fstab
   

2. 修改docker启动命令的volume挂载参数，追加shared传播标记：

   --device-cgroup-rule="c 8:* rmw" \
   -v /media/:/host_media/:shared \
   

3. 调整pmount命令的权限参数，保证容器内进程有读取权限：
   把你现有挂载命令补充文件系统权限配置，改成/usr/bin/pmount -u 000 -g 000 -o umask=0022 "$DEV_PATH" usb-mount，这样所有用户都有挂载目录的读、执行权限，不会出现权限拒绝问题。

配置完成后重启容器，USB设备插入后宿主机完成挂载，容器内/host_media/usb-mount路径可以直接访问到U盘内的所有文件。

推荐把USB设备检测、挂载的逻辑全部收拢到容器内部，不在宿主机部署自定义脚本和udev规则，隔离性更强、部署迁移更简单：

• 启动容器时不需要挂载宿主机/media目录，仅添加必要的权限和设备规则：

  --device-cgroup-rule="c 8:* rmw" \
  --cap-add SYS_ADMIN \
  --cap-add MKNOD \
  

  不需要使用--privileged特权模式，仅添加挂载、创建设备节点所需的两个capability即可，安全性更高。
• 在容器镜像内预装udev、pmount（或util-linux套件的mount工具），在容器启动时运行udev监听服务，检测到USB块设备接入事件后，直接在容器内部将设备分区挂载到应用指定目录（比如/app/usb-storage），NodeJS应用直接读取该目录即可。
• 这种方案下挂载动作完全在容器的独立命名空间内完成，不存在挂载点不同步问题，宿主机不需要做任何自定义配置，仅需安装Docker环境即可运行整个应用，批量部署时一致性更好。

注意：如果容器内以非root用户运行业务进程，只需要在挂载时指定对应uid/gid和umask即可，不需要把业务进程提权到root。

内容的提问来源于stack exchange，提问作者Some Guy