/var/run/docker.sock在centos 7上运行的容器中无法访问

Question

我正在启动一个运行bash脚本的容器，该脚本使用Centos 7.0.1406上的docker 1.3.2在内部进行docker构建。 文件/命令位于https://gist.github.com/wrabbit-revisited/1d70d0f1805be1848c08 。

docker build需要访问docker socket，所以我使用了一个常见的技巧，如http://nathanleclaire.com/blog/2014/07/12/10-docker-tips-and-tricks-that-will-make-你唱一首鲸鱼之歌/ ：

-v /var/run/docker.sock:/var/run/docker.sock

在构建之前，我在脚本中运行检查：

if [ -e "/var/run/docker.sock" ];
then
  echo "docker.sock found"
else
  echo "docker.sock not found"
fi

并且“echo”显示找不到docker.sock。 如果使用sudo在容器外部进行检查，则会发现。

我尝试在“docker run”命令行中添加“--permissive = true”，但没有明显的变化。

这里有一些类似问题的参考： https ： //github.com/dpw/selinux-dockersock 。 它针对Fedora / RHEL，但也没有解决这个问题。 如果我使用“setenforce Permissive”和sestatus来确保selinux处于许可模式，问题仍未得到解决。

我还尝试将“--security-opt = label：type：docker_t”添加到docker命令行，按照https://github.com/jwilder/nginx-proxy/issues/40 。 没有明显的效果。

这里描述了Docker的selinux策略： http ： //www.unix.com/man-page/centos/8/docker_selinux/ 。

很多信息，但我不确定selinux是否有助于解决问题。 如果我编辑/ etc / selinux / config以禁用selinux然后重新启动并运行sestatus它说selinux被禁用，但问题仍然存在。

看，它可能与此有关： https ： //github.com/docker/compose/issues/983 。 使用这个技巧在容器内运行docker是很常见的，但也许有更好的方法来做到这一点或一个好的解决方法。 我认为是dind，但这是工作，这是一个广泛使用的，简单的（表面上），在容器内运行docker构建的方法。 可能有一个简单的解决方案。

任何帮助，将不胜感激！ 谢谢

Answer 1

我认为您的问题可能是由于对docker run的-v选项的误解。 你说你做到了

-v /var/run/docker:/var/run/docker

这将在容器中为文件或目录/var/run/docker创建绑定装入。 但在你的情况下，没有这样的文件或目录。 你想要文件/var/run/docker.sock 。 所以你需要这样做

-v /var/run/docker.sock:/var/run/docker.sock

将该文件挂载到容器中。

由于/var/run/docker不存在，您可能想知道为什么docker没有告诉您有关错误的信息。 但是-v选项具有令人惊讶的行为，如果主机上不存在该路径，则docker会将其创建为目录。 所以你最终在主机和容器上有一个无用的空/var/run/docker目录。

原则上，您也可以执行-v /var/run:/var/run来绑定挂载包含目录。 但是，给容器访问主机的/var/run目录树可能是一个坏主意。

当您使用CentOS时，您还需要使用https://github.com/dpw/selinux-dockersock访问/var/run/docker.sock，以便在执行模式下使用SELinux。

Answer 2

从长远来看，确认安装https://github.com/dpw/selinux-dockersock就足够了。

一个快速的替代方法是在启动容器时传递--privileged参数。