如何从Docker容器内部在宿主机及Swarm节点创建Docker容器

完全可以实现容器内操控宿主机创建新容器，有两类成熟路径适配你的简易RDS项目场景。

方案1：挂载宿主机Docker套接字（优先推荐，适配项目快速开发） #

这是实现该需求最通用、性能损耗为0的方案：部署管控应用容器时，将宿主机的Docker守护进程套接字挂载到容器内部即可，挂载配置参考：
/var/run/docker.sock:/var/run/docker.sock
挂载完成后，在管控容器内安装对应语言的Docker SDK，即可调用和宿主机完全一致的Docker API，实现创建Postgres/Redis容器、配置数据卷持久化、映射端口、设置重启策略、管理实例生命周期全操作，效果和直接在宿主机执行docker命令完全一致。
如果你的管控应用运行在Docker Swarm集群中，要实现指定节点部署数据库实例，有两种实现方式：

• 给需要部署数据库的Swarm节点打专属标签，给管控应用配置服务部署约束，将管控容器固定调度到对应节点，对接节点本地的Docker套接字创建实例
• 直接挂载Swarm管理节点的Docker套接字，调用Swarm API创建带节点调度约束的服务，由Swarm自行完成容器在目标节点的部署，不需要逐节点部署管控代理。

方案2：Docker in Docker（DinD，隔离性更强） #

如果不想直接暴露宿主机Docker套接字、避免管控应用权限过高，可以采用DinD模式：
启动管控应用容器时添加--privileged特权参数，在容器内部署独立的Docker守护进程，后续所有数据库容器都运行在这个独立的Docker守护进程命名空间下，和宿主机原有Docker环境完全隔离。该方案的缺点是存储IO会有10%左右的性能损耗，对于学校项目的验证场景完全足够，后续做资源配额、环境隔离扩展也更方便。

项目落地注意事项 #

• 快速开发验证优先选套接字挂载方案，配置成本极低，SDK调用逻辑简单，不需要额外处理嵌套Docker的网络、存储兼容问题
• 数据库实例必须配置独立的持久化数据卷，避免容器删除后数据丢失
• 不管用哪种方案，都要给管控应用的操作接口加基础鉴权，避免未授权访问随意调用Docker接口创建、删除容器

内容的提问来源于stack exchange，提问作者MrPrincess