EC2容器化运行Jenkins访问docker.sock报权限拒绝问题咨询

问题核心出在Unix套接字的权限校验逻辑和组ID配置不匹配，和登录操作没有关系：

• /var/run/docker.sock是Docker daemon暴露的Unix域套接字，被挂载进容器后，文件权限校验完全由宿主机内核基于数字形式的UID/GID判定，和容器内部/etc/group、/etc/passwd里定义的组名、用户名无关，只认ID数字。你在容器内将jenkins用户加入了GID为999的docker组，但宿主机上docker组的实际GID并不是999，哪怕组名完全一致，ID不匹配就无法通过权限校验。
• 手动执行chmod 666 /var/run/docker.sock属于临时操作，只要Docker服务重启、EC2实例重启，Docker daemon会自动将套接字文件权限重置为默认的srw-rw----，属组为宿主机本地的docker组，这也是为什么每次重启后都要重新执行赋权命令。
• 初次在容器内执行docker命令能正常运行，本质是刚执行完666赋权，所有用户都拥有套接字读写权限，和你在容器内添加docker组的操作没有关联。
• 额外提示：直接给docker.sock开666权限有极高安全风险，相当于所有能访问该套接字的进程都能拿到宿主机的最高控制权，生产环境禁止使用这种配置。

推荐使用持久化的组ID对齐方案，不需要反复修改权限，重启也不会失效：

1. 首先在EC2宿主机上查询docker组的真实GID，执行以下命令获取数字ID：

getent group docker | cut -d: -f3

记下来命令返回的数字，常见返回值为998、1001，不同系统版本ID可能有差异。
2. 删除之前创建的异常jenkins容器：

docker rm -f jenkins-dev

3. 重新启动Jenkins容器，启动时通过--group-add参数将上一步查到的宿主机docker组GID加入jenkins用户的附属组，同时可以直接把宿主机的docker客户端挂载进容器，省去容器内单独安装Docker客户端的维护成本：

docker run -d --name jenkins-dev \
  -p 8080:8080 \
  -p 50000:50000 \
  -v /data/jenkins:/var/jenkins_home \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v /usr/bin/docker:/usr/bin/docker \
  --group-add 替换为你第一步查到的GID数字 \
  --restart always \
  jenkins/jenkins:jdk11

参数里的--restart always可以保证EC2重启、Docker服务重启后Jenkins容器自动启动，不需要手动拉起。

注：如果挂载宿主机docker客户端后执行命令出现依赖缺失报错，可以删除-v /usr/bin/docker:/usr/bin/docker这一行，进入容器后正常安装Docker客户端即可，只要--group-add参数配置正确，权限校验就可以正常通过。

4. 启动完成后进入容器执行docker ps验证，不需要修改任何套接字权限，即可正常调用宿主机Docker服务，重启实例、重启容器都不会再出现权限报错。

如果你坚持要在容器内部单独安装Docker客户端，不需要修改容器内的组配置，只要启动容器时带上对应GID的--group-add参数即可生效，不需要额外在容器内执行usermod操作。如果是已经在运行的容器不方便重建，也可以在容器内执行usermod -aG 宿主机docker组GID jenkins，注意这里要填数字GID而不是组名，操作后重新进入容器即可生效，但容器重建后该配置会丢失，不如启动参数的方案可靠。

内容的提问来源于stack exchange，提问作者ahkam