容器内部如何执行宿主机的docker命令

在使用Docker容器时，有时我们需要在容器内部执行Docker命令，比如使用容器来管理其他容器。默认情况下容器内部并没有Docker命令的执行权限。我们在这里探讨一下如何解决这个问题，本期目标是实现在容器内部执行Docker命令。

一、挂载Docker相关命令和依赖

我们先将宿主机的Docker相关命令和依赖挂载到容器中。这可以通过docker run命令的-v（或--volume）选项来实现。具体如下：

docker run -it -d \  
--restart=always -u root \  
-v /usr/bin/docker:/usr/bin/docker \  
-v /var/run/docker.sock:/var/run/docker.sock \  
-v /usr/lib64/libltdl.so.7:/usr/lib/x86_64-linux-gnu/libltdl.so.7 \  
镜像名称

这里简单说一下上面这些参数的含义，目的是希望大家都能理解这些参数：

--restart=always：Docker重启后，容器也随之重启。

-u root：以root用户身份运行容器，避免在容器中调用Docker命令时因权限不足而失败。

-v /usr/bin/docker:/usr/bin/docker：将宿主机的docker命令挂载到容器中。可以使用which docker命令查看其具体位置，也可以将挂载参数改为-v $(which docker):/usr/bin/docker。

-v /var/run/docker.sock:/var/run/docker.sock：允许容器中的进程通过Docker socket与Docker守护进程进行通信。

-v /usr/lib64/libltdl.so.7:/usr/lib/x86_64-linux-gnu/libltdl.so.7：Docker命令执行所依赖的libltdl.so.7函数库在容器中的默认目录是/usr/lib/x86_64-linux-gnu/。这里我们将其从宿主机挂载到容器中。

注意libltdl.so.7在服务区上的位置跟对应的操作系统有差异，例如CentOS 7上通常是位于/usr/lib64/libltdl.so.7，在Ubuntu上位于/usr/lib/x86_64-linux-gnu/libltdl.so.7。这个在不同的系统上操作的时候需要特别注意，挂载错了是无法执行的。

二、为当前用户赋予执行Docker命令的权限

如果之前为Docker创建过特定用户，需要将该用户添加到Docker组中，就可以赋予其执行Docker命令的权限。如果没有创建过特定用户，可以直接跳过此步骤。

1. 将当前用户加入docker组

使用sudo gpasswd -a ${USER} docker命令将当前用户添加到docker组中。或者，也可以直接将用户信息添加到/etc/group文件中，使用sudo echo "docker:x:994:${USER}" >> /etc/group命令（注意这里的GID994也是跟着操作系统需要调整的，需要查看实际的GID）。

2. 查看docker用户组成员

这一步使用cat /etc/group | grep docker命令查看docker用户组的成员列表，确认当前用户已被添加。

3. 重新启动Docker服务

为了使权限更改生效，需要重新启动Docker服务。可以使用sudo systemctl restart docke这个命令。

4. 重新登录系统

我们需要退出当前系统并重新登录，或者重新启动新的会话，以使新的组权限生效。

docker-compose应用示例

version: '3'  
services:  
  docker-in-docker:  
    image: docker:dind  # 使用包含Docker的镜像  
    privileged: true    # 赋予容器更多的权限，使其能够访问宿主机设备  
    volumes:  
      - /var/run/docker.sock:/var/run/docker.sock  # 挂载Docker socket  
      - /usr/bin/docker:/usr/bin/docker             # 挂载Docker命令（如果需要）  
      - /usr/lib64/libltdl.so.7:/usr/lib/x86_64-linux-gnu/libltdl.so.7  # 挂载依赖库（如果需要）  
    command: /bin/sh -c "while true; do echo hello world; sleep 1; done"  # 示例命令，你可以替换为你需要的命令

如果正在开发一个需要管理Docker容器的应用程序，并且需要该应用程序能够在容器内部执行Docker命令。就可以按照上述步骤创建一个新的Docker容器，并将对应的应用程序部署到该容器中。