Контейнер Docker - сенсорный: доступ запрещен

Question

У меня здесь странная проблема, когда я не вижу смысла в том, что происходит не так.

Я запускаю все в док-контейнере на моем Linux-компьютере (Ubuntu 16.04 LTS):

docker run -ti --rm promregator/promregator:0.2.1 /bin/bash

(примечание: изображение доступно публично через hub.docker.com). Команда

docker version

(на хосте) возвращает

Client:
 Version:      1.12.3
 API version:  1.24
 Go version:   go1.6.3
 Git commit:   6b644ec
 Built:        Wed Oct 26 22:01:48 2016
 OS/Arch:      linux/amd64

Server:
 Version:      1.12.3
 API version:  1.24
 Go version:   go1.6.3
 Git commit:   6b644ec
 Built:        Wed Oct 26 22:01:48 2016
 OS/Arch:      linux/amd64

В контейнере я хочу создать такой файл:

promregator@6a68713fafc9:/$ cd /opt/promregator
promregator@6a68713fafc9:/opt/promregator$ touch test
touch: cannot touch 'test': Permission denied

(promregator - это пользователь, с которым изображение запускается по умолчанию). Обратите внимание, что

• Каталог идет прямо из образа и не отображается по объему.

• Каталог принадлежит тому же пользователю, и права доступа - 0750:

  promregator@6a68713fafc9:/opt/promregator$ ls -al
  total 34348
  drwxr-x--- 2 promregator promregator     4096 Apr  1 01:00 .
  drwxr-xr-x 5 root        root            4096 Mar 20 01:01 ..
  -rw-r----- 1 promregator promregator 35159385 Apr  1 00:59 promregator.jar
  -rwxrwx--- 1 promregator promregator      642 Apr  1 00:57 promregator.sh
  

  Численно, пользователь 1000

  promregator@6a68713fafc9:/opt/promregator$ ls -aln .
  total 34348
  drwxr-x--- 2 1000 1000     4096 Apr  1 01:00 .
  [...]
  

Также обратите внимание, что та же самая операция работает с /home/promregator:

promregator@6a68713fafc9:/opt/promregator$ cd /home/promregator
promregator@6a68713fafc9:~$ touch test
promregator@6a68713fafc9:~$ ls -al .
total 8
drwx------ 2 promregator promregator 4096 Apr  7 11:45 .
drwxr-xr-x 4 root        root        4096 Apr  7 11:45 ..
-rw-r--r-- 1 promregator promregator    0 Apr  7 11:45 test
promregator@6a68713fafc9:~$ ls -aln .
total 8
drwx------ 2 1000 1000 4096 Apr  7 11:45 .
drwxr-xr-x 3    0    0 4096 Apr  7 11:45 ..
-rw-r--r-- 1 1000 1000    0 Apr  7 11:45 test

Обратите внимание, что если я запускаю контейнер как root с помощью

docker run -ti --rm -u root promregator/promregator:0.2.1 /bin/bash

Я могу создать файл в первом месте:

root@eb29fa8acb95:/# cd /opt/promregator/
root@eb29fa8acb95:/opt/promregator# touch test

Это говорит мне о том, что есть что-то "странное" с пользователем promregator .

На другом хосте (я сравнил идентификаторы sha1 идентификаторов изображений) файл можно создать, как и ожидалось, если контейнер был запущен с помощью docker run -ti --rm promregator/promregator:0.2.1 /bin/bash . Информация о версии этого хоста указывает

Client:
 Version:       17.12.0-ce
 API version:   1.35
 Go version:    go1.9.2
 Git commit:    c97c6d6
 Built: Wed Dec 27 20:11:19 2017
 OS/Arch:       linux/amd64

Server:
 Engine:
  Version:      17.12.0-ce
  API version:  1.35 (minimum version 1.12)
  Go version:   go1.9.2
  Git commit:   c97c6d6
  Built:        Wed Dec 27 20:09:54 2017
  OS/Arch:      linux/amd64
  Experimental: false

Любые идеи, подсказки, ... для меня, что это может быть?

Заранее спасибо!

Answer 1

Я встретил ту же проблему сегодня. Мое решение состоит в том, чтобы отключить selinux "setenforce 0".