centos overlay是否支持selinux

简短结论：CentOS 上的 overlay 文件系统是支持 SELinux 的，但“支持程度”取决于内核版本、SELinux 策略以及使用方式（尤其是容器场景）。

下面分几点说明：

1. 内核与 SELinux 对 overlay 的支持

• overlayfs 本身不实现完整的 SELinux 标签管理
• SELinux 通过 挂载选项 context= / fscontext= / defcontext= 或 文件系统级策略 来生效
• 现代 CentOS（CentOS 7.2+，尤其是 7.4+ 和 CentOS 8）内核已支持：
  • overlay 上挂载时指定 SELinux context
  • 容器运行时（Docker / Podman）使用 SELinux 隔离

2. CentOS 常见场景

✅ 场景一：手动 mount overlay 并启用 SELinux

mount -t overlay overlay \
  -o lowerdir=/lower,upperdir=/upper,workdir=/work \
  /merged

前提：

• /merged 所在目录有正确的 SELinux context
• 或使用：

-o context="system_u:object_r:default_t:s0"

⚠ 注意：

• 默认情况下 overlay 会“继承”底层文件标签
• 某些旧内核会出现 标签丢失或不一致

✅ 场景二：Docker / Podman（最常见）

在 CentOS 上：

• SELinux 默认开启
• overlay 存储驱动 + SELinux 是 官方推荐组合

Docker：

--selinux-enabled

Podman：

podman run --security-opt label=type:container_t ...

效果：

• 每个容器有独立 SELinux label
• 防止容器访问宿主机文件

✅ 这是 overlay + SELinux 支持最成熟的用法

⚠ 场景三：旧版本 CentOS（< 7.4）

问题包括：

• overlay 下 SELinux context 不稳定
• 需要 overlay 代替 overlay2
• 某些策略模块不兼容

建议：

• 升级内核
• 使用 overlay2

3. 如何检查是否生效

getenforce
ls -Z /merged
mount | grep overlay

4. 总结

如果你能说明：

• CentOS 版本
• 是否用于 Docker / Podman
• 是否遇到具体报错

我可以给你更针对性的建议。