如何以非 root 用户身份从 docker 容器内部访问 /var/run/docker.sock？ （MacOS 主机）

Question

我已经在 Mac 上安装了 docker，一切运行良好。我正在使用 Jenkins docker 映像并运行它。在使用 Jenkins 作为 CI 服务器并通过运行 docker 命令来构建更多镜像时，我知道我们必须在运行 Jenkins 镜像时绑定 mount /var/run/docker.sock 以便它可以访问 docker 守护进程。

我这样做了，并在 Jenkins 的容器中安装了 docker CLI。但是在运行 docker ps 或任何其他 docker 命令时，它会抛出错误：

Got permission denied while trying to connect to the Docker daemon socket at unix:///var/run/docker.sock: Get http://%2Fvar%2Frun%2Fdocker.sock/v1.28/containers/json: dial unix /var/run/docker.sock: connect: permission denied

当我以 root 用户身份连接到容器时，它工作正常。但是切换到“jenkins”用户会抛出上述错误。我已经将“jenkins”用户添加到 sudo 列表，但没有帮助。

我发现很少有文章建议将“jenkins”用户添加到“docker”组，但令我惊讶的是，我在 Mac 或容器内没有找到任何 docker 组。

非常感谢任何帮助。谢谢

Answer 1

不，但这有效：

• 将用户（例如jenkins）添加到staff-组：sudo dseditgroup -o edit -a jenkins -t user staff
• 允许组sudo，在sudo visudo添加： %staff ALL = (ALL) ALL

Answer 2

看起来发生这种情况的原因很简单：UNIX 权限不允许jenkins 用户读取/var/run/docker.sock。真正最简单的选择是将/var/run/docker.sock 上的组分配从root 更改为另一个组，然后将jenkins 添加到该组：

[as root, inside the container]
root@host:/# usermod -G docker jenkins
root@host:/# chgrp docker /var/run/docker.sock

这当然假设您已经安装了 docker CLI，并且存在一个名为 docker 的组。如果没有：

[as root, inside the container]
root@host:/# groupadd docker

或者，您可以更改/var/run/docker.sock 上的世界权限以允许非root 用户访问套接字，但我不建议这样做；这似乎是一种糟糕的安全做法。同样，您可以直接将chown 套接字传递给jenkins 用户，尽管我宁愿只更改组设置。

---

我很困惑为什么使用 sudo 对你不起作用。我刚刚尝试了我认为正是您描述的设置，并且没有问题。

启动容器：

[on macos host]
darkstar:~$ docker run \
                  -v /var/run/docker.sock:/var/run/docker.sock \  
                  docker.io/jenkins/jenkins:lts
darkstar:~$ docker exec -u root -it <container id> /bin/bash

安装 Docker CLI：

[as root, inside container]
root@host:/# apt-get update
root@host:/# apt-get -y install apt-transport-https \
                                ca-certificates \
                                curl \
                                gnupg2 \
                                software-properties-common
root@host:/# rel_id=$(. /etc/os-release; echo "$ID")
root@host:/# curl -fsSL https://download.docker.com/linux/${rel_id}/gpg > /tmp/dkey
root@host:/# apt-key add /tmp/dkey
root@host:/# add-apt-repository \
             "deb [arch=amd64] https://download.docker.com/linux/${rel_id} \
              $(lsb_release -cs) stable"
root@host:/# apt-get update
root@host:/# apt-get -y install docker-ce

然后设置jenkins用户：

[as root, inside container]
root@host:/# usermod -G sudo jenkins
root@host:/# passwd jenkins
[...]

并尝试一下：

[as jenkins, inside container]
jenkins@host:/$ sudo docker ps -a
[...]
password for jenkins:

CONTAINER ID        IMAGE                 COMMAND                  CREATED     ...
69340bc13bb2        jenkins/jenkins:lts   "/sbin/tini -- /usr/…"   8 minutes ago ...

这对我来说似乎很好用。也许您采取了不同的方式来安装 Docker CLI？不确定，但如果您想使用sudo 访问 docker 套接字，这些步骤将起作用。虽然，我认为如上所述更改组分配会更容易。祝你好运:)

---

注意：所有测试均使用运行 Docker Engine v19.03.2 的 macOS Mojave v10.14.3 执行。这似乎不太依赖主机平台，所以我希望它可以在 Linux 或任何其他类 UNIX 操作系统上运行，包括其他版本的 macOS/OSX。