Jenkins docker-dind环境下APT::Post-Invoke执行失败求助

问题背景 #

我有一个使用docker-dind:20的Jenkins流水线，流水线中执行如下Dockerfile操作：

FROM ruby:3.2-slim-bookworm
RUN apt-get update

注：原Dockerfile缺少RUN指令，此处补全（否则无法执行apt-get update命令）

在本地MacOS Ventura环境使用Docker客户端构建镜像可成功，但在Jenkins上构建失败，报错信息如下：

Problem executing scripts APT::Update::Post-Invoke 'rm -f /var/cache/apt/archives/*.deb /var/cache/apt/archives/partial/*.deb /var/cache/apt/*.bin || true'
E: Sub-process returned an error code

Jenkins使用包含两个容器的代理：一个是docker-dind:20，另一个是google/cloud-sdk:403.0.0，构建操作在docker-dind:20容器中执行。

根本原因 #

• Docker-dind存储驱动与文件系统限制：docker-dind:20默认使用overlay2存储驱动，但在Jenkins多容器代理环境下，docker-dind容器的文件系统可能以tmpfs或受限卷挂载方式运行。APT的Post-Invoke清理脚本尝试删除缓存文件时，会触发存储驱动层面的权限冲突或文件系统特性限制——即便脚本末尾加了|| true，APT仍会检测到子进程执行错误并抛出异常。
• 容器内权限约束差异：Jenkins的docker-dind容器中，构建操作可能以非root用户执行，或者容器的root权限被Jenkins代理配置限制；而APT缓存目录的操作需要完整root权限，这直接导致清理操作失败。

本地Mac环境构建成功的原因 #

• Docker Desktop的运行环境特性：MacOS上的Docker Desktop运行在专属虚拟机内，虚拟机中的Docker容器拥有完整root权限，overlay2存储驱动的运行不受额外约束，APT的缓存清理脚本可以正常执行。
• 无多容器代理的额外限制：本地构建时，Docker直接在虚拟机中运行容器，没有Jenkins多容器代理带来的文件系统挂载限制或权限约束，因此不会触发APT的错误。

内容的提问来源于stack exchange，提问作者pkaramol