如何在Kubernetes Pod中运行Docker镜像？

DevOps 小满

2026-5-25

嘿，我之前也踩过类似的坑——Docker-in-Docker（DinD）在Kubernetes里确实容易出问题，而且其实你完全不需要用它来实现docker run的效果！Kubernetes本身就是用来编排容器的，直接用Pod/Deployment部署镜像才是正确姿势，下面给你一步步拆解解决方案：

1. 先搞定私有镜像仓库的拉取权限

因为是团队私有仓库，K8s需要凭证才能拉取镜像，先创建一个docker-registry类型的Secret：

kubectl create secret docker-registry regcred \
  --docker-server=gcr.io/our-project \
  --docker-username=<你的仓库用户名> \
  --docker-password=<你的仓库密码> \
  --docker-email=<你的邮箱>

把上面的gcr.io/our-project替换成你们团队私有仓库的实际地址，用户名密码填仓库的认证信息就行。

2. 用Pod直接实现docker run的效果

创建一个Pod的YAML文件（比如teammates-pod.yaml），内容如下：

apiVersion: v1
kind: Pod
metadata:
  name: teammates-pod
spec:
  containers:
  - name: teammates-container
    image: gcr.io/our-project/teammates-image:latest
    # 如果你的镜像需要指定启动命令/参数，在这里添加，比如：
    # command: ["echo"]
    # args: ["Hello from teammates image!"]
  imagePullSecrets:
  - name: regcred  # 引用刚才创建的私有仓库凭证

然后执行部署命令：

kubectl apply -f teammates-pod.yaml

之后可以用这些命令查看状态：

查看Pod运行状态：kubectl get pods
查看容器日志：kubectl logs teammates-pod
进入容器交互：kubectl exec -it teammates-pod -- /bin/bash

3. 为什么不推荐在K8s里用Docker-in-Docker？

安全风险高：DinD需要开启privileged: true特权模式，容器能直接访问宿主机内核资源，这在生产环境是严重的安全隐患。
资源浪费+兼容性问题：K8s本身用containerd/CRI-O这类容器运行时管理容器，嵌套Docker daemon会额外消耗资源，还容易出现网络、存储的连接问题——你在minikube里碰到的Cannot connect to...就是因为DinD的daemon没正确启动或网络不通导致的。

4. 如果确实需要在容器里执行Docker命令（比如CI场景）

如果是因为CI/CD这类场景必须在容器里操作Docker，推荐用**Docker-out-of-Docker（DooD）**的方式，直接挂载宿主机的Docker socket：

apiVersion: v1
kind: Pod
metadata:
  name: docker-client-pod
spec:
  containers:
  - name: docker-client
    image: docker:latest
    command: ["sleep", "3600"]  # 让容器保持运行
    volumeMounts:
    - name: docker-socket
      mountPath: /var/run/docker.sock
  volumes:
  - name: docker-socket
    hostPath:
      path: /var/run/docker.sock
      type: Socket
  imagePullSecrets:
  - name: regcred

这样容器里的Docker客户端会直接调用宿主机的Docker daemon，不需要自己启动daemon，避免了DinD的各种坑。不过也要注意，这种方式同样有安全风险，容器能操作宿主机上的所有容器。

内容的提问来源于stack exchange，提问作者Paymahn Moghadasian