amazonlinux2镜像构建时启动docker daemon无权限报错解决方案

报错核心来自两个认知误区：

1. Docker构建阶段执行RUN命令时，运行的是无特权的临时沙箱环境，既没有启动systemd作为1号进程，也没有D-Bus服务的操作权限，所有依赖systemctl的服务启动操作都会直接失败。
2. 镜像构建阶段启动的所有进程，都会在当前构建层提交后被销毁，根本不会留存到最终运行的容器中，所以在Dockerfile里用RUN service docker start本身就是无效操作。

根据实际需求二选一即可：

方案1：容器内运行独立Docker Daemon（Docker in Docker） #

如果你需要容器内有完全隔离的Docker运行环境，不依赖EC2宿主机上的Docker服务，按以下步骤调整：

1. 修改Dockerfile，删除RUN service docker start行，不要在构建阶段启动服务，调整后参考内容如下：

FROM amazonlinux:2

RUN yum update -y && \
    yum install -y amazon-linux-extras unzip vim-enhanced sudo && \
    amazon-linux-extras install docker -y && \
    yum clean all

# 安装aws-cli v2
RUN curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip" && \
    unzip awscliv2.zip && \
    ./aws/install && \
    rm -rf awscliv2.zip aws

# 配置启动脚本
COPY entrypoint.sh /entrypoint.sh
RUN chmod +x /entrypoint.sh
ENTRYPOINT ["/entrypoint.sh"]

2. 编写同目录下的entrypoint.sh启动脚本，绕开systemd直接启动dockerd，等待服务就绪后再执行业务逻辑：

#!/bin/bash
# 后台启动docker daemon
dockerd > /var/log/dockerd.log 2>&1 &
# 轮询等待daemon就绪
until docker info >/dev/null 2>&1; do
    sleep 1
done
# 替换成实际的boto3工作流启动命令
exec your-boto3-workflow-command

3. 启动容器时必须加特权参数，否则Docker daemon没有权限操作内核虚拟网络、存储等资源：

docker run --privileged -d 你的镜像标签

注意：该方案需要给容器开放特权权限，安全边界较低，适合隔离的自动化工作流场景，部署时请遵循最小权限原则配置EC2实例的IAM角色和网络规则。

方案2：复用宿主机Docker Daemon #

如果你不需要容器内有独立的Docker环境，只是想在容器内执行docker命令操作宿主机上的Docker服务，不需要在容器内运行dockerd，调整成本更低：

1. Dockerfile中只保留Docker客户端安装步骤，直接删除RUN service docker start行即可。
2. 启动容器时将宿主机的docker套接字挂载进容器，不需要加特权参数：

docker run -v /var/run/docker.sock:/var/run/docker.sock -d 你的镜像标签

该方案性能开销更小，没有Docker in Docker的存储、网络隔离问题，是最常用的容器内调用Docker能力的实现方式。

不要为了跑systemd专门调整容器启动参数（比如指定init为/usr/sbin/init、挂载cgroup等），这种方案资源开销大，兼容问题多，仅跑Docker的场景完全没必要。

内容的提问来源于stack exchange，提问作者david