Ubuntu SELinux如何支持Docker容器

在Ubuntu上配置SELinux以支持Docker容器涉及几个步骤。以下是详细的指南：

安装SELinux

首先，确保你的Ubuntu系统上已经安装了SELinux。如果没有安装，可以使用以下命令进行安装：

sudo apt-get update
sudo apt-get install selinux-basics selinux-policy-default

配置SELinux

安装完成后，你需要配置SELinux以允许Docker运行。编辑 /etc/selinux/config 文件，将 SELINUX 设置为 enforcing 或 permissive。在 enforcing 模式下，SELinux将强制执行安全策略，而在 permissive 模式下，它只会记录违反策略的行为。

sudo nano /etc/selinux/config

将以下行：

SELINUX=disabled

更改为：

SELINUX=enforcing

保存并关闭文件，然后重启系统以使更改生效。

安装Docker SELinux集成

Docker通常包含一个名为 docker-selinux 的包，它提供了与SELinux集成的必要文件。你可以使用以下命令来安装它：

sudo apt-get install docker-selinux

配置Docker守护进程

确保Docker守护进程（dockerd）以正确的方式启动，并且SELinux策略允许它运行。编辑 /etc/docker/daemon.json 文件，添加以下内容：

{
  "selinux-enabled": true,
  "log-driver": "json-file",
  "log-opts": { "max-size": 100m },
  "exec-opts": ["native.cgroupdriver=systemd"]
}

保存并关闭文件，然后重启Docker服务：

sudo systemctl restart docker

验证SELinux集成

使用 getenforce 命令来检查SELinux的当前状态：

getenforce

如果输出是 Enforcing，则表示SELinux正在强制执行策略。

测试Docker容器

运行一个测试容器来确保SELinux策略不会阻止Docker的正常操作：

sudo docker run hello-world

如果容器成功运行并显示欢迎消息，那么SELinux已经正确集成到Docker中。

请注意，SELinux策略可能会非常复杂，并且可能需要根据你的具体需求进行调整。如果你遇到与SELinux相关的问题，你可能需要查看相关的日志文件（如 /var/log/audit/audit.log）来获取更多信息，并根据需要调整策略。