Feature: Document SELinux bind-mount note for local devcontainer usage

Describe the enhancement or feature you would like

When using the CPython devcontainer image on SELinux-enabled Linux hosts, a plain bind mount may fail with Permission denied inside the container.

Example:

docker run -it --rm \
  -v "$PWD:/workspace" \
  -w /workspace \
  ghcr.io/python/devcontainer:latest

In that case, a SELinux-compatible bind mount works:

  docker run -it --rm \
  -v "$PWD:/workspace:Z" \
  -w /workspace \
  ghcr.io/python/devcontainer:latest

Without relabeling, /workspace may not be readable from inside the container.

It may be helpful to add a short note to the local Docker/devcontainer documentation for SELinux-enabled hosts, preferably using the :Z bind-mount form.

Describe alternatives you have considered

As an alternative workaround, this also works:

docker run -it --rm \
  --security-opt label=disable \
  -v "$PWD:/workspace" \
  -w /workspace \
  ghcr.io/python/devcontainer:latest

Additional context

No response

Tìm trong tài liệu Docker/devcontainer cục bộ cách sử dụng bind-mount được nêu trong issue. Thêm một ghi chú ngắn dành cho các máy chủ Linux đã bật SELinux, sử dụng dạng bind-mount :Z, và đề cập đến cách khắc phục bằng việc tắt việc gắn nhãn nếu phù hợp. Công việc được xem là hoàn tất khi tài liệu giải thích vì sao mount thông thường có thể thất bại và đưa ra một lệnh hoạt động.