GitLab CI中google/cloud-sdk容器执行Docker命令失败的解决方法

方案1：使用gcloud命令替代Docker命令（推荐） #

既然目标是和Google容器注册表（GCR）交互，直接使用gcloud container images系列命令即可，无需依赖Docker daemon，步骤更简洁高效：

修改后的.gitlab-ci.yml：

image:
  name: google/cloud-sdk:latest
  entrypoint: [ "" ]

variables:
  UNLEASH_IMAGE_NAME: "unleash"
  SOURCE_IMAGE: "unleashorg/unleash-proxy:latest"
  TARGET_IMAGE: "gcr.io/$GCP_PROJECT_BUILD_ID/$UNLEASH_IMAGE_NAME:$CI_COMMIT_SHORT_SHA"

stages:
  - sync-image

sync-image:
  stage: sync-image
  script:
    - gcloud config set auth/impersonate_service_account $GCP_BUILD_SA
    - gcloud config set project $GCP_PROJECT_BUILD_ID
    # 直接从源镜像复制到GCR，自动处理拉取和推送
    - gcloud container images copy $SOURCE_IMAGE $TARGET_IMAGE --quiet
    # 验证镜像是否成功推送
    - gcloud container images list-tags $TARGET_IMAGE

核心优势：

• 无需处理Docker daemon的启动问题，避免权限和环境依赖。
• 一步完成镜像拉取与推送，简化脚本逻辑。

方案2：配置Docker-in-Docker（DIND）使用Docker命令 #

如果必须使用Docker命令完成操作，需要在GitLab CI中启用Docker-in-Docker，让Job能访问运行中的Docker daemon：

修改后的.gitlab-ci.yml：

image:
  name: google/cloud-sdk:latest
  entrypoint: [ "" ]

variables:
  UNLEASH_IMAGE_NAME: "unleash"
  # 配置DIND连接参数
  DOCKER_HOST: tcp://docker:2375/
  DOCKER_DRIVER: overlay2
  # 临时禁用TLS（生产环境建议配置TLS加密）
  DOCKER_TLS_CERTDIR: ""

stages:
  - sync-image

sync-image:
  stage: sync-image
  # 引入docker:dind服务，提供Docker daemon
  services:
    - name: docker:dind
      alias: docker
  script:
    - gcloud config set auth/impersonate_service_account $GCP_BUILD_SA
    - gcloud config set project $GCP_PROJECT_BUILD_ID
    - gcloud auth configure-docker
    # 现在可正常执行Docker命令
    - docker pull unleashorg/unleash-proxy:latest
    - docker tag unleashorg/unleash-proxy:latest gcr.io/$GCP_PROJECT_BUILD_ID/$UNLEASH_IMAGE_NAME:$CI_COMMIT_SHORT_SHA
    - docker push gcr.io/$GCP_PROJECT_BUILD_ID/$UNLEASH_IMAGE_NAME:$CI_COMMIT_SHORT_SHA
    - docker images

注意事项：

• 你的GitLab Runner需配置为docker executor，且拥有足够权限运行DIND服务。
• 生产环境中建议配置Docker TLS加密，防止未授权访问Docker daemon。

你之前在容器内启动Docker daemon失败的原因是：google/cloud-sdk镜像仅包含Docker客户端，没有Docker daemon的运行环境，且容器内启动daemon需要特权模式，这在普通GitLab CI Job中默认不允许，DIND是标准的解决方式。

内容的提问来源于stack exchange，提问作者John