fix: label Redis certificate mount for SELinux

deploy/production/README.md

@@ -13,4 +13,4 @@
 
 SSH 隧道账号只接受由注册服务 CA 签发的短期证书，只允许转发到服务器 `127.0.0.1:3307`，并关闭终端、TTY、代理转发和密码认证。生产主机的 SSH 管理账号使用独立密钥，关闭密码登录。
 
-Redis 原始端口不映射到宿主机。公网 `6380` 只接受 TLS，注册服务为每台设备创建独立 ACL 账号；停用安装会删除该账号。证书续期后需重新生成 `/opt/cangku/shared/redis-tls.pem` 并重启 TLS 网关。
+Redis 原始端口不映射到宿主机。公网 `6380` 只接受 TLS，注册服务为每台设备创建独立 ACL 账号；停用安装会删除该账号。证书文件应归属 HAProxy 容器的 `99:99` 并保持 `0600`，续期后需重新生成 `/opt/cangku/shared/redis-tls.pem`、恢复该属主并重启 TLS 网关。

deploy/production/docker-compose.yml

@@ -51,7 +51,7 @@ services:
       - 6380:6380
     volumes:
       - ./haproxy-redis.cfg:/usr/local/etc/haproxy/haproxy.cfg:ro
-      - /opt/cangku/shared/redis-tls.pem:/usr/local/etc/haproxy/certs/redis.pem:ro
+      - /opt/cangku/shared/redis-tls.pem:/usr/local/etc/haproxy/certs/redis.pem:ro,z
     depends_on:
       redis:
         condition: service_healthy