如何将docker套接字作为卷安装在具有正确组的docker容器中

Question

我想在docker容器中运行一个Jenkins实例。

我希望Jenkins本身能够将docker容器作为奴隶来运行测试。

看来最好的方法是使用

docker run -v /var/run.docker.sock:/var/run/docker.sock -p 8080:8080 -ti my-jenkins-image

源

我使用的Dockerfile是

FROM jenkins
COPY plugins.txt /usr/share/jenkins/plugins.txt
RUN /usr/local/bin/plugins.sh /usr/share/jenkins/plugins.txt
USER root
RUN apt-get update && apt-get install -y docker.io
RUN usermod -aG docker jenkins
USER jenkins

如果我在我的运行容器中启动bash会话，并在我的映像上运行docker info，我就会得到

$ docker info
FATA[0000] Get http:///var/run/docker.sock/v1.18/info: dial unix /var/run/docker.sock: permission denied. Are you trying to connect to a TLS-enabled daemon without TLS?

如果我作为根运行bash会话

docker exec -u 0 -ti cocky_mccarthy bash
root@5dbd0efad2b0:/# docker info
Containers: 42
Images: 50
...

所以我想我将Jenkins用户添加到的docker组是内部docker的组，因此如果没有sudo，套接字就不可读。这是一个问题，因为Jenkins docker插件等没有设置为使用sudo。

如何安装插槽，以便在没有sudo的情况下从映像中使用它

Answer 1

有点晚了，但这可能会帮助其他遇到同样问题的用户：

这里的问题是docker主机上的docker组的组id与容器内的docker组的id不同。由于守护进程只关心id，而不关心组的名称，因此只有当这些id意外匹配时，您的解决方案才能工作。

解决这个问题的方法是在启动Docker引擎时使用tcp而不是使用unix套接字，方法是使用-H选项。您应该非常小心，因为这允许任何有权访问此端口的人获得对您系统的root访问权限。

解决此问题的更安全的方法是确保容器内的docker组最终具有与容器外的docker组相同的组id。您可以使用docker build:的构建参数来完成此操作

Dockerfile:

FROM jenkinsci
ARG DOCKER_GROUP_ID
USER root
RUN curl -o /root/docker.tgz https://get.docker.com/builds/Linux/x86_64/docker-1.12.5.tgz && tar -C /root -xvf /root/docker.tgz && mv /root/docker/docker /usr/local/bin/docker && rm -rf /root/docker*
RUN curl -L https://github.com/docker/compose/releases/download/1.7.1/docker-compose-`uname -s`-`uname -m` > /usr/local/bin/docker-compose && chmod +x /usr/local/bin/docker-compose
RUN groupadd -g $DOCKER_GROUP_ID docker && gpasswd -a jenkins docker
USER jenkins

然后使用构建

docker build  
  --build-arg DOCKER_GROUP_ID=`getent group docker |  
  cut -d: -f3` -t my-jenkins-image .

在这之后，你可以运行你的图像并以非根的身份访问docker

docker run  
  -v /var/run/docker.sock:/var/run/docker.sock  
  -p 8080:8080 
  -ti my-jenkins-image

由于此解决方案依赖于在构建映像时向docker守护进程提供正确的组id，因此需要在使用该映像的计算机上构建该映像。如果你构建图像，推送它，然后其他人在他们的机器上拉它，那么组id很可能不会再次匹配。

Answer 2

我使用了你的dockerfile，但做了一个小编辑：

FROM jenkins
COPY plugins.txt /usr/share/jenkins/plugins.txt
RUN /usr/local/bin/plugins.sh /usr/share/jenkins/plugins.txt
USER root
RUN apt-get update
RUN groupadd docker && gpasswd -a jenkins docker
USER jenkins

构建图像后，我可以使用（我在centos7上）：启动它

docker run -d 
-v /var/run/docker.sock:/var/run/docker.sock 
     -v $(which docker):/usr/bin/docker:ro 
     -v /lib64/libdevmapper.so.1.02:/usr/lib/x86_64-linux-gnu/libdevmapper.so.1.02 
     -v /lib64/libudev.so.0:/usr/lib/x86_64-linux-gnu/libudev.so.0 
     -p 8080:8080 
     --name jenkins 
     --privileged=true -t -i 
test/jenkins

您试图在映像中安装软件包docker.io。但是这个包也在您的主机上（否则就不可能在上面运行docker容器）。因此，建议将其安装到您的容器中，而不是安装在docker文件中。我认为挂载的/lib64/。。。是Centos 7特有的。

$ docker exec -it 9fc27d5fcec1 bash
jenkins@9fc27d5fcec1:/$ whoami 
jenkins
jenkins@9fc27d5fcec1:/$ docker ps
CONTAINER ID        IMAGE               COMMAND                  CREATED             STATUS              PORTS                               NAMES
9fc27d5fcec1        test                "/bin/tini -- /usr/lo"   6 minutes ago       Up 6 minutes        0.0.0.0:8080->8080/tcp, 50000/tcp   jenkins