tutum/dind

Docker-in-Docker

镜像概述和主要用途

该镜像允许在Docker容器内部运行Docker（Docker-in-Docker），主要用于创建隔离的Docker环境。适用于开发、测试、CI/CD等需要独立Docker环境的场景。使用前提是Docker版本需支持--privileged标志。

核心功能和特性

• 支持通过--privileged标志实现Docker-in-Docker运行
• 可配置日志输出位置（标准输出或文件）
• 支持暴露内部Docker daemon端口到外部网络
• 自动处理cgroups伪文件系统挂载，确保与父环境层次结构一致
• 使用卷存储内部Docker数据（镜像、容器等），避免AUFS嵌套问题

使用场景和适用范围

• 开发环境中需要隔离的Docker环境测试
• CI/CD流程中验证Docker镜像构建和容器运行
• 学习或演示Docker嵌套使用的技术场景
• 需要临时、独立Docker环境的快速部署需求

详细使用方法和配置说明

快速开始

构建镜像

bash
docker build -t dind .

运行并获取交互shell（日志输出到stdout）

启动Docker-in-Docker并进入交互shell，Docker daemon日志输出到标准输出：

bash
docker run --privileged -t -i dind

运行并获取交互shell（日志输出到文件）

启动Docker-in-Docker并进入交互shell，Docker daemon日志输出到/var/log/docker.log：

bash
docker run --privileged -t -i -e LOG=file dind

运行并暴露内部Docker到外部

启动Docker-in-Docker并将内部Docker daemon通过指定端口暴露：

bash
docker run --privileged -d -p 4444 -e PORT=4444 dind

注意：使用PORT环境变量时，镜像仅运行Docker daemon并暴露端口；不使用PORT时，会在后台运行Docker daemon并提供交互shell。

常见问题解决

权限错误（AppArmor问题）

若出现权限相关错误，可能是AppArmor限制导致。添加以下标志禁用AppArmor：

bash
docker run --privileged --lxc-conf="lxc.aa_profile=unconfined" -t -i dind

cgroup层次结构警告

启动时若出现以下警告：

WARNING: the 'devices' cgroup should be in its own hierarchy.

可通过以下步骤解决：

bash
# /etc/init.d/lxc stop
# umount /sys/fs/cgroup/
# mount -t cgroup devices 1 /sys/fs/cgroup

若卸载失败，通过以下命令查找正确的cgroup挂载点：

bash
$ cat /proc/mounts | grep cgroup

工作原理

核心机制是使用--privileged标志，同时处理以下关键事项：

• cgroups伪文件系统挂载：通过包装脚本确保与父环境具有相同的层次结构
• 数据存储：/var/lib/docker使用卷而非AUFS，避免AUFS嵌套限制

磁盘使用重要警告

由于AUFS不能将AUFS挂载作为分支，内部Docker数据（镜像、容器等）存储在卷中。卷不会随docker rm命令清理，因此嵌套多个Docker时需注意磁盘空间占用。

Docker版本说明

• 外部Docker：使用宿主机已安装的Docker版本
• 内部Docker：默认从https://get.docker.io/获取最新docker二进制文件。如需自定义版本：
  • 编辑Dockerfile修改二进制文件获取方式
  • 如需使用本地版本，可修改ADD指令：

    dockerfile
    ADD /usr/bin/docker /usr/local/bin/docker
    

嵌套Docker（Docker-in-Docker-in-Docker）

支持多层嵌套Docker，但存在文件描述符泄漏问题。wrapdocker脚本会关闭从父Docker和lxc-start继承的非标准IO文件描述符。退出嵌套Docker时将逐层退出：

bash
root@975423921ac5:/# exit
root@6b2ae8bf2f10:/# exit
root@419a67dfdf27:/# exit
root@bc9f450caf22:/# exit
jpetazzo@tarrasque:~/Work/DOTCLOUD/dind$