如何让docker容器基于从头开始访问 /var/run/docker.sock

Question

我想在主机上使用Docker套接字，从Go代码运行在基于scratch的容器中。

Dockerfile如下所示：

    FROM golang:1.12.4-alpine3.9 as builder

    RUN mkdir /user && \
        echo 'nobody:x:65534:65534:nobody:/:' > /user/passwd && \
        echo 'nobody:x:65534:' > /user/group

    RUN apk add --no-cache ca-certificates git

    WORKDIR /src

    COPY go.mod ./
    RUN go mod download

    COPY . .
    RUN CGO_ENABLED=0 GOOS=linux go build -a -installsuffix cgo -o app .

    FROM scratch as final

    COPY --from=builder /user/group /user/passwd /etc/
    COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/
    COPY --from=builder /src/app /app
    COPY --chown=nobody:nobody data /.local

    USER nobody:nobody

    ENTRYPOINT ["/app"]

docker服务本身包括一个用于var/run/docker的挂载。袜子

docker service inspect的输出：

  "Mounts": [
        {
            "Type": "bind",
            "Source": "/var/run/docker.sock",
            "Target": "/var/run/docker.sock"
        }
    ],

我尝试过的事情：

>

触摸/var/run/docker。在生成器上单击并复制--chown=nobody：nobody--from=builder/var/run/var/run

不同的用户（我拒绝以root身份运行。这是一种糟糕的做法）。

将final中的nobody添加到docker组。

编辑：

在这种配置下，我得到以下错误，因为任何人作为用户都没有访问/var/run/docker的权限。插座

尝试连接到位于的Docker守护程序套接字时，权限被拒绝unix:///var/run/docker.sock:收到http:///var/run/docker.sock/v1.25/services:拨打unix/var/run/docker。sock：连接：权限被拒绝

Answer 1

要与docker守护程序通信，您需要以root（或sudo）身份运行命令，或者您的用户必须是docker组的成员。

为了从非root用户（无sudo）使用它，您需要在容器内创建docker组，并将您的用户添加到该组中。注意：容器中的docker组必须与主机上的实际docker组具有相同的GID。