CentOS 上 Overlay 权限问题的定位与修复
一、快速判断与定位
- 查看当前挂载与参数是否正确：mount | grep overlay；必要时用 findmnt -t overlay 获取更清晰视图。
- 检查内核模块是否加载：lsmod | grep overlay；未加载则写入 /etc/modules-load.d/overlay.conf 并重启。
- 校验挂载选项：确认 lowerdir、upperdir、workdir 三个目录均存在、可访问且权限正确。
- 查看服务与系统日志：journalctl -u docker.service -n 50 或 grep -i overlay /var/log/messages，聚焦 “permission denied”“operation not permitted”等关键词。
- 排除资源限制：df -h 与 df -i 检查磁盘与 inode；磁盘满或 inode 耗尽常被误判为权限问题。
- 容器场景快速核对：docker info | grep -i “storage driver”，确认使用 overlay2。
二、宿主机直接挂载 OverlayFS 的权限修复
- 目录与权限基线
- 确保 lowerdir、upperdir、workdir 及其父目录对挂载进程的用户（常见为 root）具备 rwx 访问；权限不对会导致创建/写入失败。
- 统一目录属主与权限，例如：chown -R root:root /path/to/{lower,upper,work}；chmod -R 0755 /path/to/{lower,upper,work}。
- 挂载参数与顺序
- 使用内核支持的挂载语法：mount -t overlay overlay -o lowerdir=/lower,upperdir=/upper,workdir=/work /mnt/overlay；参数顺序错误或目录缺失会触发权限/不可用。
- SELinux 策略
- 若启用 SELinux，先临时将 SELinux 设为 Permissive 验证是否为策略拦截：setenforce 0；确认后再恢复为 Enforcing 并配置正确的文件上下文，例如：semanage fcontext -a -t container_file_t “/var/lib/docker(/.*)?” 与 restorecon -Rv /var/lib/docker。
- 文件系统健康与空间
- 运行 fsck 修复底层文件系统错误；用 df -h 检查可用空间，避免因只读或空间不足引发“Permission denied”。
三、容器场景 Docker 的权限处理
- 存储驱动与内核
- 优先使用 overlay2；CentOS 7 建议使用 3.10.0-514 及以上内核以获得稳定支持。
- 检查模块：lsmod | grep overlay；未加载则写入 /etc/modules-load.d/overlay.conf 并重启。
- 数据与目录权限
- 确保 /var/lib/docker 目录对 Docker 进程（通常为 root:root）具备 rwx；必要时执行 chown -R root:root /var/lib/docker 与 restorecon -Rv /var/lib/docker。
- 配置与日志
- 在 /etc/docker/daemon.json 明确指定：{ “storage-driver”: “overlay2” }；修改后执行 systemctl daemon-reload && systemctl restart docker。
- 通过 journalctl -u docker.service -n 50 与 docker info 定位驱动加载与权限报错。
四、常见场景与修复对照表
| 场景 |
典型症状 |
快速修复 |
| 宿主机手动挂载 OverlayFS |
mount 成功但创建/写入失败，提示 Permission denied |
校验 lower/upper/work 目录存在且对挂载用户为 rwx；必要时 chown/chmod；检查 SELinux 上下文与策略；确认底层文件系统无错误且磁盘空间充足 |
| Docker 使用 overlay2 |
容器无法写入挂载卷或拉取镜像失败，日志含 permission denied |
确认内核 ≥ 3.10.0-514 且 overlay 模块已加载；/var/lib/docker 权限与 SELinux 上下文正确；/etc/docker/daemon.json 指定 “overlay2” 并重启 Docker |
| SELinux 拦截 |
操作被拒且 setenforce 0 后恢复正常 |
恢复 Enforcing，使用 semanage fcontext/restorecon 为相关目录设置正确类型（如 container_file_t 或业务所需类型） |
| 资源耗尽被误判为权限问题 |
创建/写入失败并伴随 “No space left on device” 或 “Too many open files” |
执行 df -h / df -i 清理空间或扩容；必要时调整容器/进程的资源限制 |
五、最小化复现与验证步骤
- 宿主机手动挂载验证
- mkdir -p /lower /upper /work /mnt/overlay
- echo “lower” > /lower/file.txt
- mount -t overlay overlay -o lowerdir=/lower,upperdir=/upper,workdir=/work /mnt/overlay
- touch /mnt/overlay/test && echo “ok” > /mnt/overlay/test && cat /mnt/overlay/file.txt
- 若失败，检查目录权限、SELinux、磁盘空间与内核模块。
- Docker 验证
- docker info | grep -i “storage driver”（应为 overlay2）
- docker run --rm -it -v /mnt/overlay:/work busybox touch /work/hello && ls -l /mnt/overlay
- 若失败，查看 journalctl -u docker.service 与 /var/log/messages 的权限/SELinux 报错并对应修复。