如何在Docker容器内执行docker build命令（CI/CD场景）

方案1：用Kaniko构建镜像 #

Kaniko是Google开源的工具，不用依赖Docker daemon，直接读取Dockerfile就能构建镜像并推送到仓库，全程在用户空间运行，不需要root或特权权限，完美适配你的场景。

• 具体操作：
  1. 在my_image的Dockerfile里添加Kaniko的安装（用预编译二进制包，不需要root）：

     RUN curl -LO https://github.com/GoogleContainerTools/kaniko/releases/download/v1.19.0/kaniko-executor && \
         chmod +x kaniko-executor && \
         mv kaniko-executor /usr/local/bin/
     

  2. GitLab CI作业里，生成Dockerfile后直接调用Kaniko：

     # 假设Dockerfile在当前目录，推送到你的私有镜像仓库
     kaniko-executor --context . --dockerfile Dockerfile --destination your-private-registry.com/your-image:tag
     

  3. 注意：要在GitLab CI里配置私有仓库的认证，比如用GitLab自带的CI_REGISTRY_USER和CI_REGISTRY_PASSWORD环境变量，Kaniko会自动读取这些变量完成认证。

方案2：用Rootless BuildKit #

BuildKit是Docker的下一代构建引擎，支持rootless模式运行，不需要root权限，也不用依赖宿主机的Docker daemon。

• 具体操作：
  1. 在my_image里安装BuildKit的二进制包：

     RUN curl -LO https://github.com/moby/buildkit/releases/download/v0.12.3/buildkit-v0.12.3.linux-amd64.tar.gz && \
         tar xzf buildkit-v0.12.3.linux-amd64.tar.gz && \
         mv bin/buildctl /usr/local/bin/ && \
         mv bin/buildkitd /usr/local/bin/
     

  2. CI作业里先启动rootless模式的BuildKit daemon：

     buildkitd --oci-worker-no-process-sandbox &
     export BUILDKIT_HOST=unix://$XDG_RUNTIME_DIR/buildkit/buildkitd.sock
     

  3. 用buildctl命令构建镜像：

     buildctl build --frontend dockerfile.v0 --local context=. --local dockerfile=. --output type=image,name=your-private-registry.com/your-image:tag,push=true
     

  4. 注意：rootless模式需要镜像里有uidmap这类工具（大部分基础镜像自带，没有的话可以装静态二进制版，不用root），另外GitLab Runner的执行环境得允许非root用户创建用户命名空间，现在大部分现代Linux环境都支持。

方案3：挂载宿主机Docker套接字（如果允许的话） #

你之前觉得没法挂载Docker二进制文件，但其实共享GitLab Runner一般允许把宿主机的Docker套接字（/var/run/docker.sock）挂载到容器里，不需要root权限，只要你对这个套接字有读写权限（看Runner的配置是否允许）。

• 具体操作：
  1. 在.gitlab-ci.yml里配置作业挂载套接字：

     your-build-job:
       image: your-private-registry.com/my_image:tag
       variables:
         DOCKER_HOST: unix:///var/run/docker.sock
       script:
         - # 先运行命令生成Dockerfile
         - docker build -t your-image:tag .
     

  2. 注意：这种方式不需要在my_image里装Docker daemon，只需要装Docker客户端就行。如果宿主机的Docker套接字允许当前用户访问（比如Runner运行用户属于docker组），容器里的Docker客户端就能直接连宿主机的daemon执行命令。

哪些路子走不通 #

• 别尝试在容器里启动Docker daemon：没有root权限或特权容器，根本创建不了cgroup、网络命名空间这些内核资源，肯定启动失败。
• 特权容器你已经排除了，所以传统的Docker-in-Docker（需要--privileged参数）就不用想了。

内容的提问来源于stack exchange，提问作者Pavan