Google Cloud Run Job集成Docker DinD失败：构建镜像遇权限错误

方案可行性判断 #

你的方案存在核心兼容性问题：Google Cloud Run 不支持特权模式（--privileged），也不允许添加额外的Linux Capabilities，而Docker DinD（Docker in Docker）运行必须依赖特权模式和特定Capabilities（如CAP_SYS_ADMIN、CAP_NET_ADMIN等）。本地测试正常是因为你手动开启了--privileged参数满足了DinD的运行条件，但Cloud Run的安全沙箱严格限制了这些操作，这是导致权限错误的根本原因。

解决思路与替代方案 #

1. 改用Google Cloud Build对接GitHub Actions #

直接使用Google Cloud Build作为GitHub Actions的执行环境，它原生支持Docker镜像构建，无需手动部署自托管Runner，也不需要DinD模式。你可以在GitHub Actions workflow中调用官方动作完成镜像构建与部署，无需额外配置特权环境。

2. 换用支持特权模式的环境部署自托管Runner #

如果必须使用自托管Runner，建议选择以下支持特权容器的Google Cloud服务：

• GCE虚拟机：在虚拟机上部署GitHub Actions Runner，运行DinD容器时添加--privileged参数即可。
• GKE Pod：在Kubernetes集群中部署Runner Pod，通过Pod的securityContext配置开启特权模式（privileged: true），满足DinD的运行要求。

3. 使用Kaniko替代DinD构建镜像 #

Kaniko是无需Docker守护进程的镜像构建工具，不需要特权模式，适合在Cloud Run这类受限环境中使用。你可以修改自托管Runner的镜像，集成Kaniko工具，在构建镜像时调用kaniko命令替代docker build，彻底规避DinD的权限依赖。

错误原因补充 #

你遇到的runc run failed: unable to start container process: unable to apply caps: operation not permitted错误，是因为Cloud Run的安全策略禁止容器修改自身的Linux Capabilities，而DinD在启动内部容器时需要添加必要的Capabilities，这一操作被Cloud Run的沙箱拦截，最终导致构建失败。

内容的提问来源于stack exchange，提问作者ISHMART ISHTIAQ