jpetazzo/dind

Docker-in-Docker（容器内运行Docker）

本镜像允许你在Docker容器内部运行Docker服务。

注意：如果你希望在Jenkins等测试系统容器中启动更多容器，请先阅读这篇http://jpetazzo.github.io/2015/09/03/do-not-use-docker-in-docker-for-ci/%E3%80%82

另一个注意：此镜像已过时，现在可以直接使用官方Docker镜像的dind版本。只需执行以下命令即可运行Docker-in-Docker：

bash
docker run --privileged -d docker:dind

有关官方docker:dind镜像的更多信息，请查看https://hub.docker.com/_/docker/%E3%80%82

快速开始（历史版本，仅供参考）

构建镜像：

bash
docker build -t dind .

运行Docker-in-Docker并获取交互式shell（Docker守护进程日志输出到stdout）：

bash
docker run --privileged -t -i dind

运行Docker-in-Docker并将守护进程日志写入/var/log/docker.log：

bash
docker run --privileged -t -i -e LOG=file dind

暴露内部Docker服务到外部：

bash
docker run --privileged -d -p 4444 -e PORT=4444 dind

说明：当设置PORT环境变量时，镜像仅启动Docker守护进程并暴露该端口；未设置时，会在后台启动守护进程并提供交互式shell。

守护进程配置

可通过DOCKER_DAEMON_ARGS环境变量添加额外的Docker守护进程参数：

bash
docker run --privileged -d -e DOCKER_DAEMON_ARGS="-D" dind

常见问题解决

如果遇到权限错误，可能是AppArmor导致的，尝试添加以下参数：

bash
docker run --privileged --lxc-conf="lxc.aa_profile=unconfined" -t -i dind

如果启动时出现警告WARNING: the 'devices' cgroup should be in its own hierarchy.，可尝试以下步骤：

bash
# /etc/init.d/lxc stop
# umount /sys/fs/cgroup/
# mount -t cgroup devices 1 /sys/fs/cgroup

若卸载失败，可通过以下命令查看正确的挂载点：

bash
cat /proc/mounts | grep cgroup

工作原理

核心是使用--privileged标志，同时需要注意：

• 需挂载cgroups伪文件系统，且与父环境保持相同层级；
• /var/lib/docker不能位于AUFS上，因此使用卷存储数据。

磁盘使用注意事项

由于AUFS无法将AUFS挂载作为分支，因此内部Docker数据（镜像、容器等）存储在卷中。卷不会随容器删除而清理，请注意磁盘空间占用。

支持的Docker版本

• 外部：使用你安装的Docker版本；
• 内部：默认从https://get.docker.io/%E8%8E%B7%E5%8F%96%E6%9C%80%E6%96%B0Docker%E4%BA%8C%E8%BF%9B%E5%88%B6%E6%96%87%E4%BB%B6%E3%80%82%E8%8B%A5%E9%9C%80%E4%BD%BF%E7%94%A8%E6%9C%AC%E5%9C%B0%E7%89%88%E6%9C%AC%EF%BC%8C%E5%8F%AF%E4%BF%AE%E6%94%B9Dockerfile%E4%B8%AD%E7%9A%84%60ADD%60%E6%8C%87%E4%BB%A4%E3%80%82

嵌套Docker支持

可以运行Docker-in-Docker-in-Docker，但需注意文件描述符泄漏问题。wrapdocker脚本会关闭继承的文件描述符（除标准输入输出外）以规避此问题。