无Docker Daemon时在Kubernetes上测试Docker镜像的方法求助

以下是几种适配你场景的可行解决方案：

1. 直接通过Kubernetes API启动测试Pod #

无需依赖Docker Daemon，利用K8s原生能力运行镜像并执行测试：

• 在Jenkins流水线中，用kubectl创建临时Pod，指定待测试镜像和测试命令
• 等待Pod执行完成后，收集日志判断测试结果，最后清理资源
• 示例命令：

  # 启动测试Pod并执行测试命令（失败则退出）
  kubectl run test-pod --image=your-image:tag --restart=Never --command -- /bin/sh -c "npm test || exit 1"
  
  # 等待Pod完成（超时5分钟）
  kubectl wait pod/test-pod --for=condition=complete --timeout=5m
  
  # 获取测试输出
  kubectl logs test-pod
  
  # 清理测试Pod
  kubectl delete pod test-pod
  

• 注意：需确保Jenkins Agent具备K8s集群的Pod创建/删除权限，测试逻辑可提前打包进镜像，或通过命令行传入。

2. 利用容器运行时CLI直接测试 #

如果K8s节点使用containerd或CRI-O作为运行时，可直接用它们的CLI工具替代Docker：

• 以containerd的ctr为例：

  # 拉取镜像（若本地不存在）
  ctr images pull your-image:tag
  
  # 运行镜像并执行测试，完成后自动删除容器
  ctr run --rm --net-host your-image:tag test-container ./run-functional-tests.sh
  

• 配置要点：需在Jenkins Agent Pod中挂载运行时的socket（如/run/containerd/containerd.sock），并确保Agent容器有足够权限执行ctr命令。

3. 改用无Docker依赖的测试工具 #

放弃需要Docker Daemon的container-structure-test，改用支持离线分析的工具：

• 静态检查类：trivy、grype可扫描镜像的漏洞、配置合规性，无需运行镜像
• 功能测试结合：若需验证镜像功能，搭配上述K8s Pod测试方法，将静态分析与运行时测试结合
• 示例trivy命令：

  trivy image --severity HIGH,CRITICAL your-image:tag
  

4. 正确配置Docker-in-Docker（DinD） #

如果一定要使用container-structure-test，需修复之前的DinD配置问题：

• 核心配置：给Docker容器开启特权模式，关闭TLS，并让Agent容器指向DinD的地址
• 示例Pod模板片段：

  containers:
    - name: dind
      image: docker:dind
      securityContext:
        privileged: true
      env:
        - name: DOCKER_TLS_CERTDIR
          value: ""
      volumeMounts:
        - name: docker-sock
          mountPath: /var/run
    - name: jenkins-agent
      image: jenkins/inbound-agent
      env:
        - name: DOCKER_HOST
          value: tcp://localhost:2375
      volumeMounts:
        - name: docker-sock
          mountPath: /var/run
  volumes:
    - name: docker-sock
      emptyDir: {}
  

• 注意：特权模式存在安全风险，仅在可控环境中使用。

内容的提问来源于stack exchange，提问作者Papos