Механизм защиты VFS и причины перехода файловой системы в режим Read-Only

Ошибка cannot touch: Read-only file system или EROFS: read-only file system возвращается кодом ошибки ядра EROFS (Error 30) при попытке процесса выполнить системный вызов записи (write, mkdir, unlink). Это происходит в трех основных случаях: контейнер явно запущен с флагом --read-only для безопасности, том (Volume / Bind Mount) смонтирован с атрибутом :ro, либо базовая файловая система хоста (ext4/xfs) была принудительно переведена ядром Linux в режим Read-Only из-за сбоя оборудования (I/O hardware error, bad blocks, filesystem corruption).

Бизнес-риски:

Аварийная остановка баз данных (PostgreSQL, MySQL), потеря пользовательских сессий, сбой записи транзакционных логов и повреждение целостности данных.

Таблица сценариев монтирования и прав на запись

Пошаговое восстановление прав на запись в контейнере

Сценарий 1: Исправление флагов монтирования в docker run / compose

Проверьте параметры монтирования и снимите флаг :ro, если приложению требуется запись:

# Исправленный запуск с правами на запись (:rw по умолчанию):
docker run -d -v /data/storage:/app/storage:rw myimage

# В docker-compose.yml:
services:
  app:
    volumes:
      - ./storage:/app/storage:rw

Сценарий 2: Настройка tmpfs при использовании безопасного флага --read-only

Если в целях hardening контейнер работает с --read-only rootfs, выделите временные разделы в RAM для логов и PID:

# Запуск безопасного контейнера с записью временных файлов в память (tmpfs)
docker run -d \
  --read-only \
  --tmpfs /tmp \
  --tmpfs /var/run \
  --tmpfs /var/log \
  -v app_data:/app/data:rw \
  nginx:alpine

Сценарий 3: Проверка хостовой файловой системы на ошибки и аварийный remount

Если режим Read-Only включился спонтанно на работающем контейнере, проверьте системный журнал ядра хоста:

# Проверка dmesg на критические ошибки диска
dmesg -T | grep -E 'EXT4-fs error|XFS|I/O error|remount'

# Если диск ушел в RO из-за ошибок, требуется остановка и fsck:
systemctl stop docker
umount /dev/sdb1
fsck.ext4 -y /dev/sdb1
mount /dev/sdb1 /var/lib/docker
systemctl start docker

Типовые ошибки администраторов

• Попытка сменить права через chmod внутри Read-Only ФС: Команда chmod или chown внутри контейнера завершится той же ошибкой EROFS. Права меняются на хосте.
• Игнорирование SMART-атрибутов диска: Спонтанный remount в RO — первый признак деградации SSD/HDD или сбоя контроллера RAID.