selinux拦截导致docker启动失败，典型错误为“job for docker.service failed”，根本原因是selinux策略限制守护进程访问关键资源；可通过getenforce、sestatus和ausearch命令确认问题，推荐临时调试方案为安装policycoreutils-python并用audit2allow生成自定义策略模块，或在开发环境设setenforce 0或永久修改/etc/selinux/config为disabled后重启系统。
selinux 拦截导致 docker engine 启动失败，典型错误是 job for docker.service failed. failed to start docker application。根本原因是 selinux 策略限制了 docker 守护进程访问关键资源（如容器运行时路径、socket 文件或网络命名空间），尤其在 centos/rhel 7 系统中较常见。
确认 SELinux 是否为问题根源
执行以下命令检查当前状态和最近相关拒绝日志：
- getenforce —— 查看当前模式（Enforcing 表示正在拦截）
- sestatus —— 查看详细 SELinux 配置
- ausearch -m avc -ts recent | grep docker 或 journalctl -u docker --since "1 hour ago" | grep denied —— 检查是否出现 AVC 拒绝记录
推荐的临时调试方案（不关闭 SELinux）
先尝试最小干预，保留安全机制：
- 安装 SELinux 工具包：yum install -y policycoreutils-python
- 根据 ausearch 日志生成并加载自定义策略模块：
ausearch -m avc -ts recent | audit2allow -M dockerlocal
semodule -i dockerlocal.pp - 重启 Docker：systemctl restart docker
该方式允许 Docker 在 SELinux Enforcing 模式下运行，适合生产环境评估阶段。
快速生效的常规解决方式（适用于开发/测试环境）
若确认 SELinux 并非强制要求，可将其设为 permissive 或 disabled：
- 临时切换为宽容模式（重启后失效）：setenforce 0
- 永久禁用：编辑 /etc/selinux/config，将 SELINUX=enforcing 改为 SELINUX=disabled，然后重启系统
- 注意：修改 config 后必须重启才能生效；仅用 setenforce 0 不足以让 Docker 正常启动，因部分初始化操作在 systemd 启动早期已受阻
补充说明：container-selinux 包不是 SELinux 本身
别混淆两个概念：
– container-selinux 是一个提供容器相关 SELinux 策略规则的软件包，用于增强容器隔离，它依赖 SELinux 运行，但不等于 SELinux；
– 即使装了 container-selinux，若系统级 SELinux 处于 enforcing 且策略未适配，Docker 仍会失败。
所以解决拦截报错，核心是调整 SELinux 模式或补充策略，而非重装 container-selinux。
