能否在集群内部使用nerdctl构建镜像？其对接containerd的机制是怎样的？

同类场景下nerdctl对接containerd的处理方式 #

和Docker挂载docker.sock实现容器内调用Docker daemon的逻辑一致，nerdctl对接containerd只需要挂载containerd的通信套接字即可，核心操作如下：

• 标准挂载参数：-v /run/containerd/containerd.sock:/run/containerd/containerd.sock，该路径是containerd默认的Unix套接字路径，作用和Docker的/var/run/docker.sock完全一致。
• 特殊场景适配：如果你的环境中containerd自定义了套接字存储路径，或者使用rootless模式运行containerd，只需要把挂载路径替换为实际的套接字路径即可，rootless模式下默认路径为/run/user/<用户UID>/containerd/containerd.sock。
• 权限要求：容器内执行nerdctl命令的用户需要有挂载进来的套接字文件的读写权限，否则会出现连接拒绝的报错。

nerdctl替代kaniko的可行性说明 #

该方案完全可行，完全匹配你不想大幅调整现有工作流的需求，核心优势如下：

• 语法完全兼容Dockerfile，不需要对现有构建脚本、Dockerfile做任何修改，替换成本极低。
• 支持所有主流构建特性：包括多阶段构建、构建参数传递、机密信息挂载、镜像缓存复用等，覆盖kaniko的所有常用功能。
• 构建效率更高：可以直接复用宿主机containerd的镜像缓存，相同代码重复构建的速度远快于无缓存的kaniko构建。

如果你的场景要求完全无特权、不允许挂载宿主机套接字，nerdctl也支持无根无特权构建模式，不需要挂载套接字即可完成镜像构建，配置门槛也低于kaniko。

内容的提问来源于stack exchange，提问作者Rajendar Talatam