Perché il contenitore finestra mobile richiede "Autorizzazione negata"?

Question

Io uso seguente comando per eseguire un contenitore finestra mobile, e mappare una directory da host (/root/database) al contenitore (/tmp/install/database):

# docker run -it --name oracle_install -v /root/database:/tmp/install/database bofm/oracle12c:preinstall bash 

Ma in un contenitore, trovo che non posso usare ls di elencare i contenuti in /tmp/install/database/ anche se io sono root e hanno tutti i privilegi:

[root@77eb235aceac /]# cd /tmp/install/database/ 
[root@77eb235aceac database]# ls 
ls: cannot open directory .: Permission denied 
[root@77eb235aceac database]# id 
uid=0(root) gid=0(root) groups=0(root) 
[root@77eb235aceac database]# cd .. 
[root@77eb235aceac install]# ls -alt 
...... 
drwxr-xr-x. 7 root root 4096 Jul 7 2014 database 

I check /root/database in host, e tutte le cose sembrano OK:

[root@localhost ~]# ls -lt 
...... 
drwxr-xr-x. 7 root root  4096 Jul 7 2014 database 

Perché il contenitore finestra mobile richiede "Autorizzazione negata"?

Aggiornamento:
La causa principale è legata alla SELinux. In realtà, l'anno scorso ho incontrato lo stesso issue.

Answer 1

Un'autorizzazione negata all'interno di un contenitore per una directory condivisa potrebbe essere dovuta al fatto che questa directory condivisa è memorizzata su un dispositivo. Per impostazione predefinita, i contenitori non possono accedere a nessun dispositivo. L'aggiunta dell'opzione $docker run --privileged consente al contenitore di accedere a tutti i dispositivi ed eseguire chiamate Kernel. Questo non è considerato sicuro.

Un modo più semplice per condividere il dispositivo è utilizzare l'opzione docker run --device=/dev/sdb (se /dev/sdb è il dispositivo che si desidera condividere).

Dalla pagina man:

--device=[] 
     Add a host device to the container (e.g. --device=/dev/sdc:/dev/xvdc:rwm) 

    --privileged=true|false 
     Give extended privileges to this container. The default is false. 

     By default, Docker containers are “unprivileged” (=false) and cannot, for example, run a Docker daemon inside the Docker container. This is because by default a container is not allowed to access any devices. A “privileged” container is given access to all devices. 

     When the operator executes docker run --privileged, Docker will enable access to all devices on the host as well as set some configuration in AppArmor to allow the container nearly all the same access to the host as processes running outside of a container on the host. 

Answer 2

ho avuto un problema simile quando si condivide un punto di attivazione NFS come volume utilizzando finestra mobile-composizione. Sono stato in grado di risolvere il problema con:

docker-compose up --force-recreate 

Anche se hai riscontrato il problema, questo potrebbe aiutare qualcun altro.