что такое флаг "z" в объемах контейнера докеров?

Просматривая документы docker, я сталкивался с томами - с (https://docs.docker.com/engine/reference/commandline/run/) для команды запуска docker. Я не понял различий между параметрами ro, rw, and z предоставленными as-
$ docker run --volumes-from ba8c0c54f0f2:ro -i -t ubuntu pwd
В приведенной выше команде параметр ro заменяется на z. Я буду благодарен, если кто-нибудь исследует различия в использовании этих параметров.

Ответ 1

К набору томов можно добавить два суффикса: z или: Z. Эти суффиксы говорят Docker о необходимости перемаркировать файловые объекты на общих томах. Опция 'z' сообщает Docker, что содержимое тома будет совместно использоваться между контейнерами. Docker будет обозначать контент с помощью общей метки контента. Обозначения общих томов позволяют всем контейнерам читать/писать содержимое. Опция "Z" указывает Docker на ярлык содержимого с помощью частной ярлыки с неразделенной подпиской.

https://github.com/rhatdan/docker/blob/e6473011583967df4aa5a62f173fb421cae2bb1e/docs/sources/reference/commandline/cli.md

Если вы используете selinux, вы можете добавить опции z или Z, чтобы изменить метку selinux файла хоста или каталога, который монтируется в контейнере. Это влияет на файл или каталог самого хост-компьютера и может иметь последствия за пределами области Docker.

Параметр z указывает, что контент привязки привязок разделяется между несколькими контейнерами. Опция Z указывает, что содержимое привязки привязки является закрытым и не разделенным. Будьте предельно осторожны с этими параметрами. Привязка системного каталога, такого как /home или /usr с опцией Z, делает невозможным работу хост-машины, и вам может потребоваться вручную переписать файлы хост-машины.

$ docker run -d\-it\--name devtest\-v "$ (pwd)"/target: /app: z\nginx: последний

https://docs.docker.com/storage/bind-mounts/#configure-bind-propagation

Ответ 2

docker run --volumes-from a64f10cd5f0e:z -i -t rhel6 bin/bash

Я проверил его, я установил в одном контейнере и из этого контейнера в другой новый контейнер. IT идет с параметром rw