Rancher Docker-in-Docker (DinD) 基础镜像文档

1. 镜像概述和主要用途

1.1 概述

Rancher Docker-in-Docker (DinD) 基础镜像是基于 jpettazo/dind 镜像扩展而来的 Docker 镜像，由 Rancher 维护。该镜像旨在提供容器内运行独立 Docker 守护进程的能力，实现 Docker-in-Docker (DinD) 架构，支持在隔离的容器环境中构建、管理 Docker 容器及镜像。

1.2 主要用途

• 提供嵌套 Docker 运行环境，支持在容器内执行 docker build、docker run、docker push 等命令
• 作为 CI/CD 流水线、开发环境或自动化测试场景的基础组件，简化依赖 Docker 引擎的工作流部署

2. 核心功能和特性

2.1 基础功能

• 完整继承 jpettazo/dind 镜像的核心能力，包含容器内启动 Docker 守护进程的基础架构
• 兼容标准 Docker CLI 工具，支持 Docker 命令集全量操作

2.2 扩展特性

• Rancher 生态适配：针对 Rancher 管理平台、Kubernetes 集群等组件优化兼容性
• 存储驱动灵活性：支持多种 Docker 存储驱动（如 overlay2、devicemapper 等）
• 安全增强：默认启用 TLS 加密通信，可选非 root 用户运行配置（具体以源码为准）

2.3 关键特性

• 独立存储层：容器内 Docker 守护进程拥有独立存储空间，避免与宿主 Docker 环境存储冲突
• 网络隔离：支持为内部 Docker 守护进程配置独立网络命名空间
• 轻量级设计：精简镜像体积，适合快速部署和资源受限场景

3. 使用场景和适用范围

3.1 典型使用场景

• CI/CD 流水线：在 Jenkins、GitLab CI 等平台中，需在容器内构建和推送 Docker 镜像
• 开发环境：为开发者提供隔离的 Docker 沙箱，无需在宿主机器直接安装 Docker 引擎
• 自动化测试：快速创建/销毁包含 Docker 依赖的测试实例，确保测试环境一致性
• 培训/演示：搭建临时 Docker 教学环境，避免对宿主系统造成永久性修改

3.2 适用范围

• 需要嵌套 Docker 环境的场景
• 依赖 Docker 引擎的自动化工作流
• 对环境隔离性、可重复性有较高要求的场景

4. 使用方法和配置说明

4.1 前提条件

• 宿主环境需安装 Docker 引擎（推荐版本 ≥ 19.03，具体以镜像支持为准）
• 运行容器时必须启用 --privileged 权限（DinD 架构依赖宿主机内核特性）

4.2 基本使用（docker run）

4.2.1 启动 DinD 容器

docker run -d \
  --name rancher-dind \
  --privileged \
  -p 2376:2376 \
  rancherio/docker-dind-base:latest

4.2.2 参数说明

• --privileged：必需参数，授予容器访问宿主机内核功能的权限
• -p 2376:2376：映射 Docker 守护进程 TLS 端口（非 TLS 端口为 2375，不推荐生产环境使用）
• --name rancher-dind：指定容器名称，便于管理和操作

4.3 环境变量配置

示例：自定义存储驱动和日志级别

docker run -d \
  --name rancher-dind-custom \
  --privileged \
  -e STORAGE_DRIVER=overlay2 \
  -e DOCKER_OPTS="--log-level=info --max-concurrent-downloads=5" \
  rancherio/docker-dind-base:latest

4.4 数据持久化

通过挂载卷实现容器内 Docker 数据持久化，避免重启后丢失镜像和容器数据：

docker run -d \
  --name rancher-dind-persistent \
  --privileged \
  -v /host/path/docker-data:/var/lib/docker \
  rancherio/docker-dind-base:latest

• /host/path/docker-data：宿主机持久化存储目录
• /var/lib/docker：容器内 Docker 守护进程数据根目录

4.5 Docker Compose 配置示例

version: '3.8'
services:
  rancher-dind:
    image: rancherio/docker-dind-base:latest
    container_name: rancher-dind
    privileged: true
    ports:
      - "2376:2376"
    environment:
      - DOCKER_TLS_CERTDIR=/certs
      - STORAGE_DRIVER=overlay2
      - DOCKER_OPTS=--log-level=info
    volumes:
      - ./docker-data:/var/lib/docker
    restart: unless-stopped

5. 注意事项

5.1 安全考虑

• --privileged 模式授予容器高权限，生产环境需严格控制容器访问权限，避免运行未授权代码
• 必须启用 TLS 加密（默认通过 DOCKER_TLS_CERTDIR 配置），禁止使用裸 TCP 连接（2375 端口）

5.2 性能影响

• DinD 架构存在额外虚拟化开销，建议使用高性能存储（如 SSD）和网络环境
• 优先选择 overlay2 存储驱动以提升 I/O 性能，避免使用 devicemapper 等低性能驱动（除非有特殊需求）

5.3 兼容性要求

• 宿主机内核需支持所选存储驱动（如 overlay2 要求内核版本 ≥ 4.0）
• 宿主 Docker 引擎版本需与镜像内置 Docker 版本兼容，建议参考源码仓库确认版本匹配关系

6. 源码与维护

• 源码仓库：[***]
• 维护方：Rancher