Docker容器挂载宿主机块设备提示非块设备，仅--privileged生效原因问询

1. 错误的设备映射方式导致权限缺失 #

你使用-v /dev/xvda1:/dev/xvda1做设备映射是不符合块设备挂载要求的：

• -v本质是绑定挂载，仅将宿主机的块设备文件节点同步到容器的/dev目录下，并没有给容器开放该块设备的访问权限
• 你第一次进入容器时看到的/dev/xvda1 already mounted on /etc/resolv.conf报错，是因为宿主机的resolv.conf存放在xvda1分区上，Docker启动容器时默认会把resolv.conf、hosts、hostname三个文件bind mount到容器内，你执行umount /dev/xvda1实际卸载的是这几个bind mount的文件，而非块设备本身。
• Docker默认的cgroup设备访问规则仅允许容器访问null、zero、ptmx等标准虚拟设备，未通过--device显式声明的块设备，即使在容器内可见，也没有读写、挂载权限，这就是你看到/dev/xvda1 is not a block device报错的核心原因。

2. SYS_ADMIN权限不足以覆盖所有挂载限制 #

就算你添加了--cap-add=SYS_ADMIN、放开了AppArmor和Seccomp限制，仍有两层限制未被突破：

• cgroup设备白名单限制：未显式声明的块设备不会被加入容器的cgroup设备访问白名单，内核会直接拦截对该设备的所有特权操作
• 挂载命名空间限制：非特权容器默认不允许挂载宿主机块设备到容器内的挂载点，内核会对挂载操作做额外的权限校验

3. --privileged参数的作用 #

--privileged启动容器时会一次性放开所有隔离限制：

• 给容器授予所有Linux capabilities
• 清空cgroup设备访问限制，允许容器访问所有宿主机设备
• 完全关闭AppArmor、Seccomp的安全策略拦截
• 放开挂载命名空间的挂载操作限制，因此可以直接完成块设备挂载

你可以将-v /dev/xvda1:/dev/xvda1替换为--device /dev/xvda1:/dev/xvda1，配合你之前的权限参数即可正常挂载，不需要开启全特权模式：

docker run --device /dev/xvda1:/dev/xvda1 --cap-add=SYS_ADMIN --security-opt apparmor=unconfined --security-opt seccomp=unconfined --rm -it ubuntu bash

内容的提问来源于stack exchange，提问作者E235