taskcluster/dind-service

Docker-in-Docker服务镜像

镜像概述

本镜像旨在提供运行于Docker容器内的Docker服务，并通过代理验证确保创建的容器为非特权状态、无额外能力且不挂载主机内容。尽管dind-service以--privileged模式运行，但任何访问代理后Docker守护进程套接字的用户仅能运行非特权容器，因此可安全地向非信任方暴露该套接字。

核心功能

1. 以特权模式运行Docker-in-Docker服务，但通过代理限制容器权限
2. 验证容器为非特权状态，无额外能力（capabilities）
3. 禁止容器挂载主机文件系统内容
4. 安全暴露代理后的Docker守护进程套接字

使用场景

• 需要在Docker容器内运行Docker服务的开发或测试环境
• 向非信任方提供受限Docker服务访问的场景
• 需隔离容器权限以降低安全风险的环境

配置说明

部署示例

bash
# 构建镜像
docker build -t dind-service .

# 在主机创建卷文件夹，供容器内AUFS使用（比Docker数据卷更易清理）
mkdir -p volumes run

# 运行dind-service
sudo docker run \
            --privileged \
            -v `pwd`/volumes:/var/lib/docker \
            -v `pwd`/run:/opt/dind-service/run \
            -p 2375:2375 \
            dind-service \
            $DOCKER_DAEMON_ARGS

# 移除主机上的卷
sudo rm -rf volumes/ run/ && mkdir -p volumes run

升级Docker

若需更新容器内的Docker守护进程，需升级Alpine Linux版本或手动重建Docker。升级时需验证新的远程API是否存在提升容器权限的新方式，若有则需调整代理以限制此类调用。

访问代理后的Docker套接字

默认情况下，代理后的Docker套接字暴露为容器的2375端口，且在容器内路径为/opt/dind-service/run/docker.sock，可通过--link方式链接到其他容器。若在dind-service内运行非信任Docker容器，应通过设置PORT=''禁用端口暴露。

致谢

本项目基于原始Docker-in-Docker项目https://github.com/jpetazzo/dind%E5%BC%80%E5%8F%91%E3%80%82