能否禁用Docker容器手动重启功能并添加友好提示？

针对生产环境中特定容器不能手动重启、必须通过Jenkins执行的需求，以下几种方法可以实现你的目标：

1. 全局Shell包装脚本（快速生效） #

给所有运维用户的docker命令加一层拦截，只要执行restart操作就弹出提示并终止命令。

在全局配置文件（如/etc/profile.d/docker-restrict.sh）中添加：

docker() {
    if [[ "$1" == "restart" ]]; then
        echo "⚠️ 此容器不允许手动重启，请联系开发人员或使用Jenkins作业执行重启"
        return 1
    fi
    command docker "$@"
}

执行source /etc/profile.d/docker-restrict.sh让配置立即生效，后续所有用户执行docker restart都会收到提示，不会真正执行重启。

如果只需要拦截特定容器，可以修改脚本精准匹配：

docker() {
    if [[ "$1" == "restart" ]]; then
        # 定义需要禁止重启的容器列表
        restricted_containers=("service-a" "service-b" "container-id-xxx")
        for container in "${@:2}"; do
            if [[ " ${restricted_containers[@]} " =~ " $container " ]]; then
                echo "⚠️ 容器[$container]不允许手动重启，请联系开发人员或使用Jenkins作业执行重启"
                return 1
            fi
        done
    fi
    command docker "$@"
}

2. 容器标签配合拦截（动态控制） #

给需要保护的容器添加自定义标签（比如restrict_restart=true），启动容器时加上：

docker run -d --label restrict_restart=true [其他参数] 镜像名

然后修改包装脚本，通过标签判断是否拦截：

docker() {
    if [[ "$1" == "restart" ]]; then
        for container in "${@:2}"; do
            # 获取容器标签（忽略不存在的容器错误）
            tag=$(command docker inspect --format '{{ index .Config.Labels "restrict_restart" }}' "$container" 2>/dev/null)
            if [[ "$tag" == "true" ]]; then
                echo "⚠️ 容器[$container]不允许手动重启，请联系开发人员或使用Jenkins作业执行重启"
                return 1
            fi
        done
    fi
    command docker "$@"
}

这种方式无需修改容器列表，只要给容器加标签就能自动生效，适合动态调整保护范围。

3. Docker权限控制（最安全） #

如果你的环境使用Docker Swarm或企业版，可以通过RBAC权限规则，直接禁止特定用户/角色执行docker restart命令。例如在Swarm中配置权限策略，只允许Jenkins服务账号拥有容器重启权限，普通运维用户无此权限。

对于单机环境，可以通过sudoers配置限制用户执行docker restart，配合提示信息：
在/etc/sudoers.d/docker-restrict中添加：

Cmnd_Alias DOCKER_RESTART = /usr/bin/docker restart
%ops ALL=(ALL) !DOCKER_RESTART
Defaults!DOCKER_RESTART env_keep += "PATH"
Defaults!DOCKER_RESTART lecture = "⚠️ 此操作禁止手动执行，请联系开发人员或使用Jenkins作业"

这样运维用户执行sudo docker restart会收到系统级提示，且命令被拒绝。

4. 流程固化+团队宣贯 #

把所有生产容器的重启操作都标准化到Jenkins作业中，在团队文档、内部通知中明确规则：所有生产容器重启必须通过Jenkins执行，禁止手动使用docker restart。配合前面的技术拦截，从流程和技术层面双重保障。

内容的提问来源于stack exchange，提问作者realmature