快捷導(dǎo)航

非root用戶運(yùn)行Docker命令的操作步驟

更新時(shí)間：2025年04月24日 09:04:45 作者：李博帥

在企業(yè)環(huán)境中,為了保證系統(tǒng)安全和權(quán)限的合理分配,通常不允許直接使用 root 用戶執(zhí)行 Docker 命令,本文將介紹如何配置普通用戶,使其能夠無須 root 權(quán)限便可執(zhí)行 Docker 命令,從而提升安全性和操作便捷性,需要的朋友可以參考下

背景與目的

默認(rèn)情況下，Docker 進(jìn)程的管理權(quán)限綁定在 root 用戶上。直接使用 root 用戶執(zhí)行 Docker 命令存在安全隱患，不利于權(quán)限控制和審計(jì)。為解決此問題，推薦方式是將需要執(zhí)行 Docker 命令的普通用戶添加到 Docker 用戶組（一般為 docker 組），使其擁有對(duì) Docker.sock 的訪問權(quán)限，從而無須提升權(quán)限即可操作 Docker。

操作步驟詳解

下面詳細(xì)說明如何配置非 root 用戶執(zhí)行 Docker 命令。

1. 確認(rèn)或創(chuàng)建 docker 用戶組

Docker 的套接字文件 /var/run/docker.sock 默認(rèn)會(huì)被分配給 docker 用戶組。如果該組不存在，需要手動(dòng)創(chuàng)建。

# 查看系統(tǒng)是否存在docker用戶組
getent group docker

# 如果沒有輸出，說明docker組不存在，執(zhí)行下面命令創(chuàng)建docker組
sudo groupadd docker

說明： 使用 getent group docker 代替 cat /etc/group | grep docker，更為高效且語言無關(guān)。

2. 檢查并修改 Docker 套接字的用戶組歸屬

由于 Docker 的套接字默認(rèn)位于 /var/run/docker.sock，確認(rèn)該文件所屬用戶組是否是 docker，如果不是，需要修改。

# 查看docker.sock的權(quán)限和所屬用戶組
ls -l /var/run/docker.sock

# 示例如下，輸出類似：
# srw-rw---- 1 root docker 0 Jun  1 10:00 /var/run/docker.sock

# 若所屬組不是docker，則執(zhí)行：
sudo chgrp docker /var/run/docker.sock

建議： Docker 服務(wù)重啟后，套接字權(quán)限通常會(huì)自動(dòng)恢復(fù)，若遇到權(quán)限變化問題，可考慮使用 docker.service 的配置覆蓋。

3. 將目標(biāo)用戶添加到 docker 用戶組

將需要執(zhí)行 Docker 命令的普通用戶添加到 docker 組。

# 以當(dāng)前用戶為例
sudo usermod -aG docker ${USER}

注意： -aG 表示向附加組中添加用戶，避免覆蓋已有組。

4. 重新加載用戶組權(quán)證（使配置即時(shí)生效）

為了立即使用戶組權(quán)限生效，可以選擇以下兩種方式：

重新登錄用戶會(huì)話，注銷并重新登錄
或執(zhí)行 newgrp docker 切換當(dāng)前 shell 的組權(quán)限

newgrp docker

效果與驗(yàn)證

完成配置后，可以通過如下命令驗(yàn)證用戶的組權(quán)限及 Docker 命令執(zhí)行能力。

1. 查看用戶所屬組

groups ${USER}
# 輸出中應(yīng)包含docker組

2. 測(cè)試執(zhí)行 docker 命令

docker ps

若沒有產(chǎn)生權(quán)限錯(cuò)誤，且正常顯示容器列表，說明配置成功。

常見問題排查與建議

權(quán)限不足報(bào)錯(cuò)確認(rèn)用戶是否添加到 docker 用戶組，并重新登錄 Session。
Docker 服務(wù)未啟動(dòng)運(yùn)行 sudo systemctl status docker，確認(rèn) Docker 正常運(yùn)行。
docker.sock 權(quán)限會(huì)重置某些系統(tǒng)中，重啟 Docker 服務(wù)后 /var/run/docker.sock 的權(quán)限會(huì)被重置?？赏ㄟ^創(chuàng)建 systemd override 文件固定權(quán)限：

sudo mkdir -p /etc/systemd/system/docker.service.d
sudo tee /etc/systemd/system/docker.service.d/override.conf <<EOF
[Service]
ExecStartPost=/bin/chgrp docker /var/run/docker.sock
ExecStartPost=/bin/chmod 660 /var/run/docker.sock
EOF

sudo systemctl daemon-reload
sudo systemctl restart docker