Python脚本移至/opt目录后Docker挂载失败，请求排查原因

核心原因：SELinux 权限限制（最可能） #

当你在/opt目录下用sudo运行脚本时，SELinux（安全增强型Linux）的默认策略会限制Docker容器访问/home目录下的文件。/home目录的SELinux上下文标签是user_home_t，而/opt目录的标签是usr_t，跨目录挂载时，SELinux会阻止容器读取挂载的文件，导致容器内的/key目录为空，从而提示文件不存在。

解决方案1：添加SELinux挂载标签 #

修改docker run命令的挂载参数，添加:z（共享标签）或:Z（私有标签），让SELinux允许容器访问挂载的目录：

docker run --gpus all --privileged \
  -v /home/myuser/data/input:/input/:z \
  -v /home/myuser/data/output:/output/:z \
  -v /home/myuser/data/key:/key:z \
  mydocker process /input/filename -k /key/mykey.key -o /output/

• :z：适用于多个容器共享同一挂载目录的场景
• :Z：适用于仅当前容器使用该挂载目录的场景

解决方案2：验证宿主机文件权限与存在性 #

虽然你说命令一致，但仍需确认：

• 宿主机上/home/myuser/data/key/mykey.key确实存在：

  sudo ls /home/myuser/data/key/mykey.key
  

• 该文件的权限允许root读取（root默认拥有所有权限，但如果有特殊ACL限制需检查）：

  sudo ls -l /home/myuser/data/key/mykey.key
  

解决方案3：避免shell=True的潜在问题 #

subprocess.call使用shell=True时，在sudo环境下可能存在命令解析的不确定性（比如特殊字符转义、环境变量差异）。建议改用列表形式传递命令，避免shell解析：

import subprocess

docker_cmd = [
    "docker", "run", "--gpus", "all", "--privileged",
    "-v", "/home/myuser/data/input:/input/:z",
    "-v", "/home/myuser/data/output:/output/:z",
    "-v", "/home/myuser/data/key:/key:z",
    "mydocker", "process", "/input/filename",
    "-k", "/key/mykey.key", "-o", "/output/"
]

subprocess.call(docker_cmd, stderr=log)

这种方式更安全，也能避免shell环境带来的差异问题。

其他排查方向 #

• 检查Docker daemon的日志，看是否有挂载失败的详细信息：

  sudo journalctl -u docker.service
  

• 临时关闭SELinux测试（不推荐长期关闭，仅用于排查）：

  sudo setenforce 0
  

  如果测试后问题解决，说明确实是SELinux的问题，回到解决方案1即可。

内容的提问来源于stack exchange，提问作者mjswartz