如何在现有Docker Swarm集群中创建交互式临时容器进行故障诊断

实现方法 #

Docker Swarm 没有原生的 docker stack run 类命令，但可以通过 docker service create 显式指定对应栈的资源，完全实现你需要的「在指定栈上下文内运行临时交互式容器」的需求，所有操作仅需在 Swarm 管理节点执行，无需登录工作节点。

操作步骤

• 首先确认栈关联的资源名称：
  栈默认网络名称格式为 <栈名>_default，自定义网络、Secret、Config、共享卷的名称均为 <栈名>_<资源名>，可通过以下命令确认：

  # 确认栈网络
  docker network ls | grep <你的栈名>
  # 确认栈Secret
  docker secret ls | grep <你的栈名>
  # 确认栈共享存储卷
  docker volume ls | grep <你的栈名>
  

• 执行临时服务创建命令，以下是通用模板：

  docker service create \
    --name temp-debug-$(date +%s) \
    --network <栈网络名> \
    # 如需挂载栈的Secret加：--secret source=<栈Secret名>,target=<容器内Secret路径>
    # 如需挂载栈的共享卷加：--volume <栈卷名>:<容器内挂载路径>
    # 如需加环境变量加：-e <KEY>=<VALUE>
    --with-registry-auth \
    --tty \
    --interactive \
    --rm \
    --restart-condition none \
    <你要使用的镜像名> \
    <启动命令，比如bash、sh等>
  

• 进入交互式终端：
  服务创建完成后执行以下命令即可进入容器操作：

  docker attach <刚创建的临时服务名>
  

  操作完成后执行 exit 退出，临时服务会自动删除，无残留。

额外配置说明

如果需要和栈内某现有服务的运行环境完全对齐，可以执行 docker service inspect <栈名>_<目标服务名>，导出该服务的环境变量、权限配置、挂载规则、内核参数等，直接对应到 docker service create 的参数中即可。

该方案完全覆盖所有需求：

• 临时按需创建，退出自动清理，无残留资源
• 支持完全交互式操作，和本地执行 docker run -ti 体验一致
• 可使用任意公开/私有镜像，无需提前在集群内预设
• 可访问栈内所有网络、存储、Secret等资源，权限和栈内原生服务完全一致
• 无需操作现有业务容器，也不依赖业务服务正常运行，只要Swarm集群可用即可执行

内容的提问来源于stack exchange，提问作者mathrick