Jenkins上Testcontainers调用Docker API创建容器遭403权限拒绝原因排查

以下是针对你遇到的「能拉取镜像但无法创建容器」的403错误的几种可能成因：

• Docker细粒度权限配置限制
  你的Docker环境可能启用了RBAC（基于角色的访问控制）或使用了权限管理插件，当前用于访问Docker API的身份（比如令牌、证书对应的用户）仅被授予了「镜像拉取（image pull）」相关权限，未分配「容器创建（container create）」权限。镜像拉取与容器创建属于Docker API的不同操作权限组，这种权限拆分会导致你能完成镜像拉取，但触发容器创建时被拒绝。

• Docker守护进程的访问控制规则
  Docker守护进程可能通过--authorization-plugin配置了授权插件，或在daemon.json中设置了访问控制策略，明确拦截了/containers/create端点的请求。这种情况下，即使你能访问其他Docker API端点（比如镜像拉取相关端点），特定的容器创建操作会被守护进程的规则直接拒绝。

• Jenkins运行环境的权限边界限制
  如果Jenkins本身运行在容器内，可能存在两种情况：

  1. 宿主机Docker socket挂载到Jenkins容器时，权限设置仅允许执行镜像拉取类操作，禁止容器创建；
  2. Jenkins容器内的运行用户没有足够权限调用Docker API创建容器，比如用户不在docker用户组内，或socket文件的权限限制了该用户的操作范围。

• 第三方安全工具拦截
  Jenkins所在环境的防火墙、SELinux/AppArmor安全模块，或者容器安全防护平台（如容器入侵检测工具），可能针对Docker API的「容器创建」操作设置了拦截规则，但允许镜像拉取的HTTP请求通过。这类安全工具会区分镜像拉取（与外部镜像仓库的交互）和容器创建（与本地Docker守护进程的交互）两种操作，对后者施加更严格的限制。

内容的提问来源于stack exchange，提问作者Ben