无需Docker守护进程，基于基础镜像添加新层构建Docker镜像

直接手动修改docker save导出的tar归档确实不现实——镜像归档包含多层tar、manifest清单、配置文件等复杂结构，手动修改极易破坏镜像完整性，官方也不推荐这种做法。针对你的需求（添加文件、设置环境变量、修改entrypoint，且避免Docker-in-Docker），有几个专门的工具可以实现，完全不需要依赖Docker守护进程：

方案1：用Buildah构建（最接近Dockerfile体验） #

Buildah是专门为无守护进程镜像构建设计的工具，语法和Dockerfile几乎一致，直接操作镜像层而不需要Docker daemon。

1. 编写Containerfile（和Dockerfile完全兼容）：

   FROM ubuntu:latest
   # 添加文件
   COPY my-file.txt /opt/
   # 设置环境变量
   ENV APP_HOME=/opt MY_VAR=production
   # 修改entrypoint
   ENTRYPOINT ["/opt/my-entrypoint.sh"]
   

2. 执行构建命令：

   buildah build -t my-custom-image:latest .
   

3. 导出为tar归档（可选）：

   buildah push my-custom-image:latest docker-archive:my-custom-image.tar
   

方案2：用Skopeo + Umoci操作OCI镜像 #

如果需要更细粒度的镜像修改，Skopeo负责镜像的拉取/推送格式转换，Umoci负责镜像的解压/修改/重新打包，两者都是OCI标准工具，完全脱离Docker守护进程。

步骤： #

1. 拉取基础镜像到本地OCI格式仓库：

   skopeo copy docker://ubuntu:latest oci:my-base-image:latest
   

2. 解压镜像的rootfs到本地目录：

   umoci unpack --image my-base-image:latest my-image-root
   

3. 手动修改rootfs：
   • 添加文件：直接复制到对应路径，比如cp my-file.txt my-image-root/opt/
   • 设置环境变量：可以在my-image-root/etc/profile.d/custom-env.sh中添加export MY_VAR=my-value，或者后续用Umoci命令设置更规范
   • 修改entrypoint：可以直接在rootfs中创建/修改entrypoint脚本，或者用Umoci命令设置
4. 用Umoci重新打包镜像：

   # 设置环境变量和entrypoint（可选，比手动改配置更可靠）
   umoci config --image my-new-image:latest \
     --env MY_VAR=my-value \
     --entrypoint "[\"/opt/my-entrypoint.sh\"]"
   # 重新打包rootfs
   umoci repack --image my-new-image:latest my-image-root
   

5. 转换为Docker格式的tar归档：

   skopeo copy oci:my-new-image:latest docker-archive:my-new-image.tar
   

为什么不推荐手动修改tar归档？ #

Docker镜像的tar归档不是简单的文件打包，它包含：

• 每个镜像层单独的tar文件
• manifest.json：描述镜像的层顺序、配置文件关联
• config.json：存储环境变量、entrypoint、用户等元数据
  手动修改需要同步更新这些文件的内容和哈希值，稍有不慎就会导致镜像无法加载，完全没有必要——上述工具已经封装了所有底层细节，操作更可靠、可重复。

内容的提问来源于stack exchange，提问作者Stabby