CoreOS Tectonic沙箱中容器无法检测Docker Daemon问题排查求助

首先看你提供的deployment.yaml片段，这里存在明显的配置语法错误，这应该是导致Docker Daemon无法被检测到的核心原因。你把docker-socket写成了一个独立容器，但实际上我们需要把宿主机的/var/run/docker.sock挂载到业务容器idn-docker内部，而不是单独定义一个容器。

第一步：修正Deployment配置 #

正确的挂载方式应该通过volumes和volumeMounts实现，以下是修正后的配置示例：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: idn-docker-deployment
spec:
  replicas: 1
  selector:
    matchLabels:
      app: idn-docker
  template:
    metadata:
      labels:
        app: idn-docker
    spec:
      containers:
      - name: idn-docker
        image: sample/id-docker:latest
        volumeMounts:
        - name: docker-socket
          mountPath: /var/run/docker.sock  # 将宿主机的socket挂载到容器内对应路径
      volumes:
      - name: docker-socket
        hostPath:
          path: /var/run/docker.sock  # 宿主机上的Docker socket路径
          type: Socket  # 指定类型为Socket，避免路径不存在时创建目录

第二步：排查其他可能的问题 #

如果修正配置后仍然无法检测到Docker Daemon，你可以从以下几个方向排查：

• 权限问题：宿主机上的/var/run/docker.sock通常属于root:docker组（权限一般是srw-rw----）。如果容器内的运行用户不是root，也没有加入docker组，会出现权限拒绝的情况。你可以：

  • 在Dockerfile中添加RUN usermod -aG docker <your-user>，让容器内的用户拥有访问socket的权限
  • 或者在Deployment的容器securityContext中设置runAsUser: 0，以root身份运行容器

• CoreOS Tectonic的安全限制：Tectonic作为Kubernetes发行版，可能有严格的安全策略：

  • 检查是否需要开启特权模式：在容器的securityContext中添加privileged: true（注意这会大幅提升容器权限，需谨慎使用）
  • 检查SELinux是否阻止了访问：可以临时设置securityContext.seLinuxOptions.type: spc_t测试，或者查看节点上的SELinux审计日志

• 验证挂载是否成功：进入容器内部执行以下命令确认：

  # 检查socket文件是否存在
  ls -l /var/run/docker.sock
  # 如果容器内装有docker客户端，直接测试连通性
  docker info
  

内容的提问来源于stack exchange，提问作者user1877775