Feature: Document SELinux bind-mount note for local devcontainer usage

Describe the enhancement or feature you would like

When using the CPython devcontainer image on SELinux-enabled Linux hosts, a plain bind mount may fail with Permission denied inside the container.

Example:

docker run -it --rm \
  -v "$PWD:/workspace" \
  -w /workspace \
  ghcr.io/python/devcontainer:latest

In that case, a SELinux-compatible bind mount works:

  docker run -it --rm \
  -v "$PWD:/workspace:Z" \
  -w /workspace \
  ghcr.io/python/devcontainer:latest

Without relabeling, /workspace may not be readable from inside the container.

It may be helpful to add a short note to the local Docker/devcontainer documentation for SELinux-enabled hosts, preferably using the :Z bind-mount form.

Describe alternatives you have considered

As an alternative workaround, this also works:

docker run -it --rm \
  --security-opt label=disable \
  -v "$PWD:/workspace" \
  -w /workspace \
  ghcr.io/python/devcontainer:latest

Additional context

No response

Durchsuche die lokale Docker/devcontainer-Dokumentation nach der im Issue gezeigten Verwendung von Bind-Mounts. Füge einen kurzen Hinweis für Linux-Hosts mit aktiviertem SELinux hinzu, der die Bind-Mount-Form :Z verwendet, und erwähne gegebenenfalls die Abhilfe zum Deaktivieren des Labelings. Fertig ist die Änderung, wenn die Dokumentation erklärt, warum der einfache Mount fehlschlagen kann, und einen funktionierenden Befehl zeigt.