darneta/docker_priv_proxy

Docker Privileged Proxy镜像说明

镜像概述

本镜像旨在解决Docker Swarm Mode服务中无法原生使用--cap-add、--device等特权参数的限制（该功能尚未正式支持，可关注https://github.com/docker/docker/issues/24862）。它基于Debian镜像，通过绑定主机的Docker socket启动特权容器，并使用socat工具代理端口，使Swarm服务能够访问这些特权容器。需注意：本镜像需要Docker引擎1.13及以上版本支持可附加网络，目前处于测试阶段。

核心功能

1. 绑定主机Docker socket，在Swarm服务中启动需要特权的容器；
2. 使用socat代理特权容器的端口到Swarm overlay网络；
3. 支持通过环境变量配置Docker run参数和代理端口；
4. 兼容需要--privileged、--cap-add、--ipc等特权的容器场景。

使用场景

适用于Docker Swarm Mode环境下，需要运行具有特权需求的容器场景，例如：

• DB2测试/ staging环境部署；
• 需要访问主机设备或系统资源的应用容器；
• 依赖特定IPC或网络配置的服务。

配置说明

前提条件

• Docker引擎版本≥1.13；
• 创建可附加的Swarm overlay网络（用于特权容器与代理服务通信）。

环境变量

• DOCKER_RUN：指定特权容器的启动参数（与docker run命令参数一致）；
• PORT：指定代理端口（特权容器的端口将被代理到该端口）。

挂载要求

需挂载主机的/var/run/docker.sock到容器内，路径为/var/run/docker.sock。

构建命令

bash
docker build -t docker_priv_proxy .

部署示例

以DB2测试环境为例：

1. 创建可附加的overlay网络：

bash
docker network create -d overlay --attachable --subnet 10.1.1.0/24 db2_net

2. 创建Swarm服务：

bash
docker service create \
  --name db2_proxy \
  --network db2_net \
  --mount "type=bind,source=/var/run/docker.sock,target=/var/run/docker.sock" \
  -e DOCKER_RUN="--network db2_net --cap-add=IPC_OWNER --ipc=host -e DB2INST1_PASSWORD=password -e LICENSE=accept ibmcom/db2express-c:latest db2start" \
  -e PORT=50000 \
  -p 50002:50000 \
  docker_priv_proxy

该服务会将外部端口50002代理到特权DB2容器的50000端口，实现Swarm环境下对DB2服务的访问。