Docker在加密LLVM分区挂载卷时出现权限异常该如何解决？

• Fedora 默认对加密 /home 目录使用 fscrypt 文件级加密，默认仅允许加密卷的所属用户访问内容，root 用户默认也无权限读取其他用户的加密目录文件
• Docker 挂载默认校验宿主机文件的 SELinux 安全上下文，加密分区内的文件安全上下文与容器预期的 container_file_t 不匹配，会被系统强制拦截访问

方案1：临时禁用容器SELinux标签检查（测试用） #

运行容器时添加 --security-opt label=disable 参数即可绕过SELinux标签校验，示例命令：

docker run -v /home/jkr/test:/test -it --rm --security-opt label=disable nginx bash

docker-compose 配置参考：

services:
  nginx:
    image: nginx
    security_opt:
      - label:disable
    volumes:
      - /home/jkr/test:/test

该方案无需修改宿主机配置，适合临时测试场景。

方案2：给挂载卷添加SELinux共享标记 #

在挂载路径末尾添加 :z 或 :Z 标记，让Docker自动调整挂载文件的SELinux上下文适配容器访问：

• :z 标记：文件允许被多个容器共享读写
• :Z 标记：文件仅允许当前容器独占访问
  示例命令：

docker run -v /home/jkr/test:/test:z -it --rm nginx bash

docker-compose 配置参考：

services:
  nginx:
    image: nginx
    volumes:
      - /home/jkr/test:/test:z

该操作会修改宿主机对应文件的SELinux标签，不影响宿主机本地正常访问文件。

方案3：调整fscrypt策略允许root访问 #

如果你使用的是rootful Docker（Docker daemon以root身份运行），可以直接修改fscrypt加密策略，允许root用户读取你的加密home目录内容：

fscrypt policy set --allow-root /home/jkr

执行命令后重启系统生效，之后所有root身份运行的进程都可以正常读取该加密目录内的文件。

内容的提问来源于stack exchange，提问作者efx