Ubuntu SELinux如何支持Docker容器

在Ubuntu上配置SELinux以支持Docker容器涉及幾個步驟。以下是詳細的指南：

安裝SELinux

首先，確保你的Ubuntu系統上已經安裝了SELinux。如果沒有安裝，可以使用以下命令進行安裝：

sudo apt-get update
sudo apt-get install selinux-basics selinux-policy-default

配置SELinux

安裝完成后，你需要配置SELinux以允許Docker運行。編輯 /etc/selinux/config 文件，將 SELINUX 設置為 enforcing 或 permissive。在 enforcing 模式下，SELinux將強制執行安全策略，而在 permissive 模式下，它只會記錄違反策略的行為。

sudo nano /etc/selinux/config

將以下行：

SELINUX=disabled

更改為：

SELINUX=enforcing

保存并關閉文件，然后重啟系統以使更改生效。

安裝Docker SELinux集成

Docker通常包含一個名為 docker-selinux 的包，它提供了與SELinux集成的必要文件。你可以使用以下命令來安裝它：

sudo apt-get install docker-selinux

配置Docker守護進程

確保Docker守護進程（dockerd）以正確的方式啟動，并且SELinux策略允許它運行。編輯 /etc/docker/daemon.json 文件，添加以下內容：

{
  "selinux-enabled": true,
  "log-driver": "json-file",
  "log-opts": { "max-size": 100m },
  "exec-opts": ["native.cgroupdriver=systemd"]
}

保存并關閉文件，然后重啟Docker服務：

sudo systemctl restart docker

驗證SELinux集成

使用 getenforce 命令來檢查SELinux的當前狀態：

getenforce

如果輸出是 Enforcing，則表示SELinux正在強制執行策略。

測試Docker容器

運行一個測試容器來確保SELinux策略不會阻止Docker的正常操作：

sudo docker run hello-world

如果容器成功運行并顯示歡迎消息，那么SELinux已經正確集成到Docker中。

請注意，SELinux策略可能會非常復雜，并且可能需要根據你的具體需求進行調整。如果你遇到與SELinux相關的問題，你可能需要查看相關的日志文件（如 /var/log/audit/audit.log）來獲取更多信息，并根據需要調整策略。