在Docker容器中运行Docker：无法连接到Docker守护程序

Question

我创建了一个Dockerfile在Docker内部运行Docker：

    FROM ubuntu:16.04
RUN apt-get update && \
    apt-get install -y \
    apt-transport-https \
    ca-certificates \
    curl \
    software-properties-common && \
    curl -fsSL https://download.docker.com/linux/ubuntu/gpg | apt-key add - &&\
    apt-key fingerprint 0EBFCD88

RUN add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable" && \
   apt-get update && \
   apt-get install -y docker-ce && \
   systemctl enable docker

启动容器并运行docker
ps后，我得到：“无法通过unix：///var/run/docker.sock连接到Docker守护程序。Docker守护程序正在运行吗？”

我在容器内执行了命令dockerd：

错误启动守护程序：错误初始化网络控制器：错误获取控制器实例：无法创建NAT链DOCKER：iptables失败：iptables -t nat -N
DOCKER：iptables
v1.6.0：无法初始化iptables表`nat’：权限被拒绝（您必须是root用户）也许iptables或您的内核需要升级。（退出状态3）

请指教

Answer 1

如果您确实想在另一个Docker容器中运行Docker容器，则应使用Docker提供的现有图像（https://hub.docker.com/_/docker）而不是创建自己的基本图像：选择标记为图像的图像作为dind（
d ocker in d ocker）或<docker_version>-dind（like
18.09.0-dind）。如果要运行自己的映像（尽管不建议这样做），请不要忘记使用--privileged选项运行它（这就是为什么会出现错误）。

带有docker官方图片的示例：

# run Docker container running Docker daemon
docker run --privileged --name some-docker -d docker:18.09.0-dind

# run hello-world Docker image inside the Docker container previously started
docker exec -i -t some-docker docker run hello-world

不过，我同意@DavidMaze的评论以及他所引用的参考博客文章（请勿将Docker-in-
Docker用于CI）：应当尽可能避免使用Docker-in-
Docker。