主页 / ubuntu / 问题 / 1248349
Accepted
MLu
Asked: 2020-06-09 15:27:08 +0800 CST

docker-compose 在 $HOME 之外被 AppArmor 拒绝 - 如何修复？

  • 772

我试图逃跑docker-compose up，/data/myproject但失败了：

/data/myproject# docker-compose up
ERROR: 
        Can't find a suitable configuration file in this directory or any
        parent. Are you in the right directory?

        Supported filenames: docker-compose.yml, docker-compose.yaml

显然这是由于 AppArmor 阻止了该访问，因为docker-compose.yml目录中肯定存在，并且docker-compose.yml我的$HOME. 只有当我将它移到它时才/data不会。

/data/myproject# dmesg | tail
...
[62950.885492] audit: type=1400 audit(1591658453.915:144): apparmor="DENIED" operation="open" profile="snap.docker.compose" name="/proc/7429/mounts" pid=7429 comm="python3" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
[63016.064496] audit: type=1400 audit(1591658519.090:145): apparmor="DENIED" operation="open" profile="snap.docker.compose" name="/proc/7476/mounts" pid=7476 comm="python3" requested_mask="r" denied_mask="r" fsuid=0 ouid=0
[63043.767933] audit: type=1400 audit(1591658546.793:146): apparmor="DENIED" operation="open" profile="snap.docker.compose" name="/proc/7505/mounts" pid=7505 comm="python3" requested_mask="r" denied_mask="r" fsuid=0 ouid=0

我的问题：如何添加到//data的允许目录？dockerdocker-compose

permissions apparmor docker 20.04

1 个回答

  1. Best Answer

    如果我们只关注 AVC 拒绝，可以通过修改从日志中消除它

    /var/lib/snapd/apparmor/profiles/snap.docker.compose

    添加：

    @{PROC}/@{pid}/mounts r,

    然后重新加载配置文件：

    sudo apparmor_parser -r /var/lib/snapd/apparmor/profiles/snap.docker.compose

    这实际上并没有使 docker-compose 工作。它只是处理那种特别的否认。所以我不推荐它。

    最重要的方面可能是 docker 是作为 snap 安装的。

    这里强调了更广泛的问题：

    https://github.com/docker/compose/issues/6361

    迄今为止，在这个线程上，贡献者通过从 apt 安装 docker compose 而不是使用 snap 来解决这个问题。

    深入挖掘 docker snap 表明需要使用 $HOME 目录是一个已知的限制。 https://github.com/docker-archive/docker-snap#usage

    从那里我认为问题将与 docker snap 的限制有关，而不是 AppArmor 否认某些事情。

    我在下面留下了最初的建议，因为它可能在其他情况下有所帮助。

    旧答案

    程序 aa-logprof 可用于扫描日志文件以查找 AppArmor 审计消息、查看它们并更新配置文件。

    sudo aa-logprof

    它可能会引导您完成整个过程，而无需深入了解 AppArmor 的具体细节。

    这是手册页： http: //manpages.ubuntu.com/manpages/xenial/man8/aa-logprof.8.html

    • 2

相关问题