如何从Docker容器中启动主机上的systemd服务？

要在Docker容器内执行systemctl start name.service来启动主机上的服务，有两种常见实现方式，各有优劣：

方法一：挂载主机systemd相关路径（直接但风险高） #

这种方式通过让容器共享主机的PID命名空间并挂载systemd的关键路径，使容器内的systemctl能直接操控主机服务。

操作步骤： #

1. 启动容器时添加以下参数：

docker run -d \
  --name=target-container \
  --pid=host \
  -v /run/systemd/system:/run/systemd/system \
  -v /var/run/dbus/system_bus_socket:/var/run/dbus/system_bus_socket \
  your-image-name

2. 确保容器内已安装systemd工具（比如Debian/Ubuntu容器执行apt install -y systemd，CentOS/RHEL执行yum install -y systemd）。
3. 进入容器后即可执行：

systemctl start name.service

注意： #

这种方式会让容器获得极高的主机权限，生产环境需谨慎使用，可能带来严重的安全隐患。

方法二：通过SSH远程执行命令（安全可控） #

通过在容器内SSH连接主机，调用预授权的systemctl命令，权限更易管控。

操作步骤： #

1. 主机端配置：
   • 创建专用用户（比如docker-svc）：

     useradd docker-svc
     

   • 配置sudo免密权限，仅允许执行指定服务的启停命令：

     echo "docker-svc ALL=(ALL) NOPASSWD: /usr/bin/systemctl start name.service, /usr/bin/systemctl stop name.service" >> /etc/sudoers.d/docker-svc
     

   • 生成SSH密钥对，将公钥添加到docker-svc的~/.ssh/authorized_keys中：

     ssh-keygen -t ed25519 -N "" -f docker-key
     mkdir -p /home/docker-svc/.ssh
     cp docker-key.pub /home/docker-svc/.ssh/authorized_keys
     chown -R docker-svc:docker-svc /home/docker-svc/.ssh
     chmod 700 /home/docker-svc/.ssh
     chmod 600 /home/docker-svc/.ssh/authorized_keys
     

2. 容器端配置：
   • 将私钥docker-key复制到容器内（比如/root/.ssh/），并设置权限chmod 600 /root/.ssh/docker-key。
   • 安装openssh-client：

     # Debian/Ubuntu
     apt install -y openssh-client
     # CentOS/RHEL
     yum install -y openssh-clients
     

   • 执行命令启动主机服务：

     ssh -i /root/.ssh/docker-key docker-svc@主机IP sudo systemctl start name.service
     

优势： #

仅授予容器执行特定命令的权限，安全风险更低，适合生产环境使用。

内容的提问来源于stack exchange，提问作者Mattia Sospetti