Docker DinD容器访问Docker Compose中DB服务的问题及方案咨询

一、让DinD容器访问Docker Compose中的数据库服务 #

可以实现，核心是让DinD容器加入Compose集群的现有网络，而非使用--network=host：

1. 确定Compose集群的网络名称
   执行docker network ls，找到对应Compose项目的网络，默认名称格式为[你的项目名]_default。

2. 创建DinD容器时指定加入该网络
   启动DinD容器时添加参数：

   docker run --network=[你的compose网络名] ... dind-image
   

3. 在DinD容器内使用服务名访问数据库
   连接数据库时，将主机名改为Compose中DB服务的名称（比如db），端口保持5432，连接串示例：

   jdbc:postgresql://db:5432/your_database
   

   这样DinD容器就能通过Compose的DNS解析找到数据库服务。

注意：不要使用--network=host，这会破坏DinD的隔离性，且在多主机环境下不可靠。

二、替代Volumes的更优方案（避免隔离性下降与Web服务解压） #

推荐两种方案，均无需在Web服务上解压项目，且保持容器隔离：

方案1：通过标准输入直接传输压缩包到DinD容器 #

Web服务无需保存或解压压缩包，直接将压缩包内容通过管道传给DinD容器，在容器内部完成解压和构建：

# Web服务端执行：将项目压缩包通过stdin传入DinD容器
cat project.zip | docker run -i --rm \
  --network=[你的compose网络名] \
  --user=nonroot \
  dind-image \
  sh -c 'unzip -q -d /tmp/project - && cd /tmp/project && mvn clean compile test'

• 优势：Web服务无本地文件残留，完全隔离，无需挂载volume。
• 注意：需确保DinD镜像中包含unzip工具，且/tmp目录可写。

方案2：使用docker cp传输压缩包到DinD容器 #

1. 先创建一个临时DinD容器（不启动）：

   docker create --name temp-build-container \
     --network=[你的compose网络名] \
     --user=nonroot \
     dind-image
   

2. 将压缩包复制到容器内：

   docker cp project.zip temp-build-container:/tmp/project.zip
   

3. 启动容器并执行构建命令：

   docker start -a temp-build-container \
     --entrypoint sh \
     -c 'unzip -q /tmp/project.zip -d /tmp/project && cd /tmp/project && mvn clean compile test'
   

4. 构建完成后删除临时容器：

   docker rm temp-build-container
   

• 优势：比管道更灵活，可在传输后检查文件完整性，同样无需在Web服务解压。

三、额外安全优化建议 #

• 给DinD容器指定非root用户运行，避免容器内的测试程序获取过高权限。
• 使用--cap-drop=ALL去掉不必要的内核权限，仅保留必要的（如--cap-add=SYS_CHROOT如果需要）。
• 将DinD容器的Maven仓库目录挂载为临时卷（--volume=maven-repo:/root/.m2），避免重复下载依赖，同时不与Web服务共享数据。

内容的提问来源于stack exchange，提问作者Bogdan Zaranik