TestContainers DotNet 在 Fedora 系统下的权限配置优化

TestContainers DotNet 是一个用于.NET生态的容器化测试工具库，它通过Docker容器为单元测试和集成测试提供隔离的依赖环境。近期社区发现该工具在Fedora系统上存在默认配置兼容性问题，本文将深入分析问题根源及解决方案。

问题现象

当开发者在Fedora系统上使用TestContainers DotNet时，Ryuk容器（负责资源清理的核心组件）会因SELinux安全策略而无法访问Docker守护进程的Unix套接字。系统审计日志显示具体错误为：

SELinux阻止了/bin/ryuk对docker.sock套接字文件的写操作
avc: denied { write } for pid=4979 comm="ryuk" name="docker.sock"

技术背景

1. SELinux机制：Fedora默认启用的强制访问控制(MAC)系统，比传统Linux权限更严格
2. Ryuk组件：TestContainers的核心清理工具，确保测试后自动销毁容器资源
3. Privileged模式：Docker容器的特殊运行模式，允许突破部分安全限制

根本原因

TestContainers Java版本已在2023年7月将ryuk.container.privileged默认值改为true，但.NET版本仍保持默认false。这导致：

• 在启用SELinux的系统上，非特权容器无法访问Docker套接字
• 与Java生态行为不一致，造成跨语言使用体验割裂
• 影响Podman等容器运行时在rootless模式下的正常工作

解决方案

TestContainers DotNet将同步Java版本的默认值策略，将Ryuk容器的特权模式默认启用。这将带来：

1. 开箱即用：Fedora用户无需额外配置即可运行
2. 生态统一：保持跨语言实现的一致性
3. 兼容性提升：更好支持Podman等替代容器运行时

临时应对措施

在等待新版本发布期间，开发者可以通过以下方式临时解决：

export TESTCONTAINERS_RYUK_CONTAINER_PRIVILEGED=true

或修改用户级配置文件设置该参数。

技术决策考量

将特权模式设为默认值经过了以下权衡：

• 安全性：Ryuk作为官方维护的清洁组件，特权模式风险可控
• 便利性：显著降低新用户入门门槛
• 一致性：遵循上游Java实现的成熟决策

该变更预计将随TestContainers DotNet的下个稳定版本发布，为Fedora等严格安全策略的系统用户带来更流畅的体验。