3.7. 使用 seLinuxChangePolicy 减少 pod 超时

SELinux (Security-Enhanced Linux)是一种安全机制，可为系统上的所有对象（文件、进程、网络端口等）分配安全标签（上下文）。这些标签决定了进程可以访问的内容。在 AWS 经典架构上的 Red Hat OpenShift Service 中，SELinux 有助于防止容器转义和访问主机系统或其他容器。

当 pod 启动时，容器运行时会递归重新标记卷中的所有文件，以匹配 pod 的 SELinux 上下文。对于具有多个文件的卷，这可能会显著增加 pod 启动时间。

挂载选项通过尝试使用 -o context 挂载选项直接挂载卷来指定避免对所有文件进行递归重新标记，这有助于避免 pod 超时问题。

挂载选项功能取决于驱动程序，在 AWS EBS 和 Red Hat OpenShift Data Foundation 中默认启用。如需第三方驱动程序，请联系您的存储厂商。

为了帮助您进入挂载选项默认值，Red Hat OpenShift Service on AWS 经典架构 4.20 会在创建 pod 时报告与 SELinux 相关的冲突，以便您了解潜在的冲突，并帮助您解决它们。有关此报告的更多信息，请参阅此 Kowledge Base 文章。

如果您无法解决与 SELinux 相关的冲突，您可以主动选择不使用所选 pod 或命名空间的挂载选项。要选择不使用，请参阅 不使用 SELinux 挂载选项默认。

securityContext:
    seLinuxOptions:
      level: 's0:c27,c19'
    runAsNonRoot: true
    fsGroup: 1000740000
    seccompProfile:
      type: RuntimeDefault
    seLinuxChangePolicy: Recursive 
  ...

securityContext:
    seLinuxOptions:
      level: 's0:c27,c19'
    runAsNonRoot: true
    fsGroup: 1000740000
    seccompProfile:
      type: RuntimeDefault
    seLinuxChangePolicy: Recursive 

  ...