新构建的Jenkins Docker容器内无法执行Docker命令如何排查

两个报错本质都是新容器启动时缺失了DinD（容器内运行Docker操作）必需的运行时配置，和镜像本身无关——你通过运行中旧容器commit生成的镜像，只会保留容器内的文件系统、已安装软件、配置文件内容，完全不会继承旧容器启动时传入的docker run运行参数：

• Cannot connect to the Docker daemon at unix:///var/run/docker.sock报错：新容器没有挂载宿主机的Docker通信套接字，容器内的docker客户端找不到对接的Docker引擎入口。
• ulimit: error setting limit (Operation not permitted)报错：普通Docker容器默认被内核限制了高权限操作，Docker服务启动时需要修改系统资源限制（ulimit），没有特权的容器会被直接拦截该操作。
  旧容器能正常执行docker命令，就是因为当初启动时已经配置了对应的特权、套接字挂载规则，这些规则没被打包进镜像，你用默认参数启动新镜像自然会触发报错。

优先选择套接字挂载方案（稳定性更高、资源开销更低，也是Jenkins容器使用Docker能力的主流方案），启动新容器时补上缺失的参数即可，核心配置项如下：

• 挂载宿主机/var/run/docker.sock到容器内同路径，让容器内的docker客户端直接复用宿主机的Docker引擎，不需要在容器内单独启动Docker守护进程
• 加上--privileged参数给容器授予特权，放开内核操作限制
• 记得同步配置你需要的端口映射、Jenkins数据目录持久化挂载，参考启动命令：

docker run -d \
  # 替换为你需要的宿主机端口映射，比如你要改的新Jenkins访问端口
  -p 18080:8080 \
  -p 50000:50000 \
  # 挂载Docker套接字
  -v /var/run/docker.sock:/var/run/docker.sock \
  # 替换为你自己的Jenkins数据持久化目录，避免容器删除后配置丢失
  -v /data/jenkins_home:/var/jenkins_home \
  # 授予特权
  --privileged \
  --name new-jenkins \
  # 替换为你自己打包的自定义Jenkins镜像名
  custom-jenkins:v1

容器启动后进入内部执行docker ps，如果能正常返回宿主机上运行的容器列表，就说明配置生效。
如果你的场景必须在容器内运行独立的Docker守护进程（不共享宿主机Docker引擎），除了加--privileged参数外，还需要修改容器内Docker启动脚本里的ulimit配置，不过这种方案资源占用高、网络配置复杂，非特殊需求不推荐使用。

内容的提问来源于stack exchange，提问作者ahkam