Nginx docker 文件上传权限被拒绝

我有一个 Nginx docker 容器，在 docker-compose 文件中配置如下：

my-nginx:
  image: nginx:1.26.0
  container_name: my-nginx
  hostname: my-nginx
  restart: always
  ports:
    - x.x.x.x:8001:6001
  networks:
    - public
  volumes:
    - "/opt/docker/volumes/nginx-html:/usr/share/nginx/html"
    - "/opt/docker/nginx/nginx.conf:/etc/nginx/conf.d/default.conf"
    - "/opt/docker/volumes/logs/nginx-logs:/var/log/nginx/logs"
    - "/opt/docker/volumes/certs:/etc/certificates/nginx"

nginx.conf 没有什么特殊之处，没有代理，只是从两个本地文件夹提供 HTML/JS/CSS/IMG 文件：

server {
    listen       6001 ssl;
    server_name  my-nginx;
    ssl_certificate /etc/certificates/nginx/my.crt;
    ssl_certificate_key /etc/certificates/nginx/my.decrypted.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH;

    location / {
        root    /usr/share/nginx/html/site1;
        index   index.html;
        try_files $uri $uri/ /site1/index.html;
    }

    location /site2 {
        alias   /usr/share/nginx/html/site2;
        index   my.js;
        try_files $uri $uri/ /site2/my.js;
    }

    location /site1 {
        alias   /usr/share/nginx/html/site1;
        index   index.html;
        try_files $uri $uri/ /site1/index.html;
    }

    access_log /var/log/nginx/logs/access.log;
    error_log /var/log/nginx/logs/error.log warn;

    #error_page  404              /404.html;

    # redirect server error pages to the static page /50x.html
    #
    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   /usr/share/nginx/html;
    }
}

运行良好，没有问题。HTML 文件已正确找到并从已安装的卷文件夹中提供，并且已加载配置和证书文件。日志文件夹也已作为卷安装，我可以看到日志文件 access.log 和 error.log 已成功创建。

我在文件夹external_images下添加了一个名为的新文件夹/opt/docker/volumes/nginx-html，该文件夹应该用作图像文件的上传文件夹（来自受信任的内部源）。我将这个新文件夹放在另一个 html 源文件夹中，因为这些相同的图像需要通过 HTTP 提供给其他客户端。新的上传接口配置如下所示：

location ~ "/upload/([0-9a-zA-Z-.]*)$" {
    alias /usr/share/nginx/html/external_images/$1;
    client_body_temp_path /tmp;
    dav_methods PUT DELETE MKCOL COPY MOVE;
    create_full_put_path on;
    dav_access user:rw group:rw all:r;
    client_body_in_file_only on;
    client_body_buffer_size 128k;
    client_max_body_size 100M;
    limit_except PUT OPTIONS HEAD { deny all; }
}

我无论如何都无法让它工作。我不断收到权限被拒绝的错误：

curl -T test.png https://x.x.x.x:8001/upload/

2024/06/17 16:36:35 [crit] 21#21: *4 open() "/usr/share/nginx/html/external_images/test.png.0000000002" failed (13: Permission denied), client: y.y.y.y, server: my-nginx, request: "PUT /upload/test.png HTTP/1.1", host: "x.x.x.x:8001"

当我连接到容器时，我在内部是 root 身份，因此我可以毫无问题地写入此文件夹中的文件：

[admin@server docker]$ sudo docker exec -it my-nginx bash
root@voda-nginx:/# echo aaa > /usr/share/nginx/html/external_images/test.png.0000000002
root@voda-nginx:/# exit
exit

[admin@server docker]$ ll volumes/nginx-html/external_images/
total 4
-rw-r--r--. 1 root root 4 Jun 17 18:52 test.png.0000000002
[admin@server docker]$ cat volumes/nginx-html/external_images/test.png.0000000002
aaa

但是，当我尝试以内部“nginx”用户的名义执行相同操作时，权限被拒绝：

root@my-nginx:/# su -s /bin/bash -c "echo aaa > /usr/share/nginx/html/external_images/test.png.0000000002" - nginx
-bash: line 1: /usr/share/nginx/html/external_images/test.png.0000000002: Permission denied

我尝试对日志文件夹进行相同的操作，日志文件已被 nginx 成功写入，但即使在那里，我也无法以“nginx”用户身份创建新文件。

我错过了什么？

编辑：添加环境详细信息

docker 在 RedHat 8.9 上运行，并启用了 SELinux，但我不认为这是一个 SELinux 问题，因为我们有一堆正在运行的容器，每个容器都可以将日志文件甚至自定义 CSV 文件等写入卷文件夹而没有任何问题。