如何在 Docker 容器中挂载 --bind？

Question

我有这个基于debian:jessie的容器（但这不是很相关，因为我对alpine:3.3有同样的问题）。 我到了我需要的地方

mount --bind /htdocs/www /home/user/example.com/www

我得到

mount: permission denied

我在任何内核日志中都找不到任何东西，并且-vvv没有产生任何有趣的东西。 我显然可以在主机上执行此操作（使用任何其他子树/节点对）。 在我上面的示例中，/htdocs/www 是 Docker 卷的挂载点，但它看起来并不重要，因为我无法在容器内mount --bind任何一对子树/节点。

Answer 1

要使用mount系统调用，您需要CAP_SYS_ADMIN功能。 默认情况下，Docker 在生成容器时会删除所有功能（这意味着即使作为root ，您也不能做任何事情）。 有关更多信息，请参阅mount(2) 手册页。

您可以使用--cap-add=SYS_ADMIN标志启动容器以将此功能添加到您的容器中：

root@host > docker run --rm -it --cap-add=SYS_ADMIN debian:jessie
root@ee0b1d5fe546:/# mkdir /mnt/test
root@ee0b1d5fe546:/# mount --bind /home /mnt/test/
root@ee0b1d5fe546:/# 

请谨慎使用。 不要在特权容器中运行不受信任的软件。

Answer 2

尝试使用--privileged标志：

docker run --rm -it --privileged=true debian
mkdir /mnt/test
mount --bind /home /mnt/test/

Answer 3

我正在搜索 Docker/Kubernetes 的一些信息以授予功能权限，并找到了一些信息

docker run --rm -it --security-opt apparmor:unconfined --cap-add=SYS_ADMIN debian:jessie
mkdir /mnt/test
mount --bind /home /mnt/test/

有助于。