拒绝使用docker容器来编写主机的文件系统

Question

我有两台电脑，一台是使用fedora。当我在fedora上使用这个命令时：

docker run -ti -v /tmp/test:/host/tmp/test ubuntu /bin/bash

我无法从我的主机上写/读文件。 这是我想要的行为。

问题是：当我使用相同的命令时使用ubuntu。容器可以读/写主机上的每个文件。我不想要这个。

我认为Fedora SELINUX正在保护我的系统。我怎么能用AppArmor做到这一点？

我在互联网上做了很多研究，但我只找到了关于如何在主机文件系统上进行写作的主题...... /：

提前致谢。

最诚挚的问候，

修改

计算机是免费访问的，因此我无法控制用户执行docker run的方式。我需要来自host和apparmor守护进程的保护。

Answer 1

一种选择是将绑定挂载标记为只读：

docker run -ti -v /tmp/test:/host/tmp/test:ro ubuntu /bin/bash