以systemd用户服务运行应用时无法访问Docker套接字

核心原因 #

直接以用户u执行命令时，shell会加载用户的所有组信息（包括docker组），但systemd用户服务默认不会自动刷新用户的组权限——尤其是用户加入docker组后，没重新登录或重启systemd用户实例的话，服务无法获取新的组权限。另外，systemd用户服务的执行环境可能缺少docker组的权限上下文。

具体解决办法 #

1. 重启用户的systemd实例 #

用户加入docker组后，当前的systemd用户会话可能还没同步新组权限，执行命令重启用户的systemd实例：

systemctl --user daemon-reexec

之后重启服务：

systemctl --user restart app.service

2. 在服务文件中显式指定docker组 #

修改app.service配置，在[Service]段添加Group=docker，强制服务以docker组权限运行：

[Unit]
Description=App description
After=network.target

[Service]
ExecStart=/usr/bin/app
Restart=always
Group=docker

[Install]
WantedBy=default.target

重新加载配置并重启服务：

systemctl --user daemon-reload
systemctl --user restart app.service

3. 确认Docker Socket的权限 #

检查/var/run/docker.sock的权限，确保docker组拥有读写权限：

ls -l /var/run/docker.sock

正常输出应类似：

srw-rw---- 1 root docker 0 Jun 19 14:43 /var/run/docker.sock

如果权限不符，执行以下命令修正：

sudo chown root:docker /var/run/docker.sock
sudo chmod 660 /var/run/docker.sock

4. 重新登录用户会话 #

若以上方法无效，完全注销用户u后重新登录，确保用户组信息被彻底加载，再启动服务。

内容的提问来源于stack exchange，提问作者Lars Kakavandi-Nielsen