在Kubernetes Pod中使用Docker Socket清理镜像遇权限错误求助

我之前在AKS环境里碰到过一模一样的权限问题，这个EACCES错误本质是容器内的进程没有足够权限访问主机上的/var/run/docker.sock。Docker Socket默认归root用户和docker用户组（通常GID为999）所有，哪怕你设置了privileged: true，也不代表容器内进程自动获得了对应权限。结合你的AKS v1.13.10环境，给你几个针对性的解决方案：

1. 确保容器以Root用户运行 #

如果你的Dockerfile里用了USER指令切换到非root用户，那就算Pod开了特权模式，这个用户依然没权限碰docker.sock。你可以二选一：

• 修改Dockerfile，移除USER指令，让容器默认以root启动；
• 直接在Pod的securityContext里显式指定runAsUser: 0（0是root的UID）。

2. 添加Docker用户组的补充权限 #

主机上的docker.sock属于docker用户组，得让容器内进程加入这个组才能拿到读写权限。AKS节点上docker组的GID通常是999，你可以通过supplementalGroups把这个组加到容器的权限上下文里。

修改后的DaemonSet配置 #

把你的deployment.yaml更新成下面这样：

apiVersion: extensions/v1beta1
kind: DaemonSet
metadata:
  labels:
    name: docker-image-cleanup
  name: docker-image-cleanup
spec:
  template:
    metadata:
      labels:
        app: docker-image-cleanup
    spec:
      volumes:
      - name: docker-sock
        hostPath:
          path: "/var/run/docker.sock"
          type: File
      - name: docker-directory
        hostPath:
          path: "/var/lib/docker"
      containers:
      - name: docker-image-cleanup
        image: image:tag
        securityContext:
          privileged: true
          runAsUser: 0  # 显式指定以root用户运行
          supplementalGroups: [999]  # 添加docker用户组的GID
        env:
        - name: PRUNE_INTERVAL_SECONDS
          value: "30"
        - name: PRUNE_DANGLING
          value: "true"
        volumeMounts:
        - mountPath: /var/run/docker.sock
          name: docker-sock
          readOnly: false
        - mountPath: "/var/lib/docker"
          name: docker-directory
          readOnly: false

3. 验证Docker组的实际GID（可选） #

如果上面的配置还是不行，你可以先确认AKS节点上docker组的真实GID：

1. 通过kubectl debug或者开启节点SSH权限后登录到AKS节点；
2. 执行命令：getent group docker | cut -d: -f3，得到的数值就是docker组的GID；
3. 把这个数值替换到supplementalGroups里就行。

额外提醒 #

• 你的AKS版本v1.13.10比较老旧，建议后续考虑升级到支持apps/v1版本DaemonSet的集群，extensions/v1beta1已经被官方废弃；
• 开启privileged: true会给容器极高的权限，一定要确保你的镜像和清理工具是完全可信的，避免安全风险。

内容的提问来源于stack exchange，提问作者SagiLow