如何从Docker Compose服务中控制宿主机Docker及生成同网容器？

Docker-in-Docker（dind）是否可行？ #

完全可行，但得注意几个关键点：

• 你需要在Compose里单独配置dind服务，让测试工具容器通过TCP连接到这个独立的Docker daemon，不能直接复用宿主机的Docker环境
• dind会生成独立的Docker运行环境，所以必须提前在dind内部创建和测试工具所在的同一网络（或者让测试工具启动容器前先创建该网络），否则新启动的容器无法和测试工具互通
• 缺点是dind会额外占用系统资源，且它的镜像、容器存储和宿主机完全隔离，宿主机上已有的镜像在dind里无法直接使用，需要重新拉取或同步

能从服务内部控制宿主机的Docker Compose吗？ #

可以实现，但不推荐直接操作宿主机的Compose。更稳妥且简便的方式是挂载宿主机的Docker socket：

• 将宿主机的/var/run/docker.sock挂载到测试工具容器中，这样容器内执行的docker命令会直接调用宿主机的Docker daemon
• 这种方式下，新启动的容器直接运行在宿主机Docker环境中，只需在启动命令里指定测试工具所在的Compose网络（比如docker run --network <你的Compose网络名> --hostname <自定义主机名>），就能满足同网络和自定义主机名的核心需求
• 注意：挂载Docker socket存在安全风险，容器内进程会获得宿主机的root权限，仅适合在内部可信的测试环境中使用

满足核心需求的推荐方案 #

方案1：挂载宿主机Docker Socket（最简便） #

在你的Compose配置中给测试工具服务添加挂载配置：

services:
  test-tool:
    image: 你的测试工具镜像
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
    networks:
      - test-network

测试工具内部启动容器时，直接指定目标网络和主机名：

docker run --network test-network --hostname app-1 你的应用镜像

方案2：使用dind（隔离性更好） #

适合需要完全隔离Docker环境的场景，Compose配置示例：

services:
  test-tool:
    image: 你的测试工具镜像
    depends_on:
      - docker-dind
    environment:
      - DOCKER_HOST=tcp://docker-dind:2376
      - DOCKER_TLS_CERTDIR=/certs
    volumes:
      - dind-certs-client:/certs/client
    networks:
      - test-network
  docker-dind:
    image: docker:dind
    privileged: true
    environment:
      - DOCKER_TLS_CERTDIR=/certs
    volumes:
      - dind-certs-ca:/certs/ca
      - dind-certs-client:/certs/client
      - dind-storage:/var/lib/docker
    networks:
      - test-network
volumes:
  dind-certs-ca:
  dind-certs-client:
  dind-storage:
networks:
  test-network:

测试工具启动容器前，需要先在dind环境内创建test-network（因为dind是独立环境，无法识别宿主机的网络），之后启动容器时指定该网络和自定义主机名即可

额外提醒 #

• 无论采用哪种方案，测试工具容器内必须安装Docker CLI，要么使用自带CLI的基础镜像，要么在Dockerfile中手动安装
• 使用宿主机socket方案时，尽量避免容器内以root用户执行操作，降低安全风险
• dind必须开启privileged: true，权限较高，非必要场景不建议使用

内容的提问来源于stack exchange，提问作者Augusto