问基于SELinux约束违反的SELinux运行码头

EN

在Ubuntu14.04上，我使用SELinux运行Docker，如我所知，Docker将读取$Selinux-Root-Dir/default/contexts/lxc_contexts。但是我找不到这个文件，所以我创建了这个文件并放置了一些contents.following：

process = "system_u:system_r:svirt_lxc_net_t:s0"
content = "system_u:object_r:virt_var_lib_t:s0"
file = "system_u:object_r:svirt_lxc_file_t:s0"
sandbox_kvm_process = "system_u:system_r:svirt_qemu_net_t:s0"
sandbox_lxc_process = "system_u:system_r:svirt_lxc_net_t:s0"

然后我使用Selinux的许可模式( docker -dD --selinux-enabled=false和docker run -it --rm ubuntu /bin/bash )运行Docker

最后，我想使用audit2allow生成一个*.te和*.pp文件，我执行cat /var/log/audit/audit.log | audit2allow -M container，但是它是compilation failed: container.te:41:ERROR 'syntax error' at token 'mlsconstrain' on line 41: #Constraint rule: mlsconstrain chr_file { create relabelto } ((h1 dom h2 -Fail-) and (l2 eq h2) ); Constraint DENIED /usr/bin/checkmodule: error(s) encountered while parsing configuration /usr/bin/checkmodule: loading policy configuration from container.te

我禁止container.te，它的内容是：#!!!! This avc is a constraint violation. You would need to modify the attributes of either the source or target types to allow this access. #Constraint rule: mlsconstrain chr_file { create relabelto } ((h1 dom h2 -Fail-) and (l2 eq h2) ); Constraint DENIED mlsconstrain chr_file { relabelfrom } ((h1 dom h2 -Fail-) ); Constraint DENIED .... # Possible cause is the source level (s0) and target level (s0:c96,c879) are different. --我猜这个对接器是用s0运行的，但是它想要将对接者的rootfs文件系统重新命名为(s0:c96，c879) --这个错误就发生了。

所以我的问题是：

类型是否为容器错误?如何关闭此约束或如何解决此问题？