如何安全地在Docker容器内调用宿主机的Nix（含守护进程与/nix目录）？

要在不给Docker容器高权限的前提下共享宿主机的Nix目录和守护进程，核心是通过权限受控的挂载和用户组映射实现安全隔离，具体步骤如下：

1. 只读挂载宿主机的/nix目录 #

宿主机的/nix存储了所有Nix包和配置，为防止容器篡改宿主机数据，挂载时设置为只读模式：

docker run -v /nix:/nix:ro ...

只读挂载既能让容器复用已有的Nix包，又避免了容器对宿主机Nix存储的写入权限。

2. 安全共享Nix守护进程套接字 #

Nix守护进程通过套接字/run/nix/daemon-socket/socket提供服务，要让容器安全访问这个套接字，需通过用户组控制权限：

• 宿主机创建专门的用户组管理Nix访问：

  sudo groupadd -r nix-users
  sudo usermod -aG nix-users $USER
  

• 修改Nix配置，让守护进程套接字归该组所有：
  编辑/etc/nix/nix.conf，添加或修改：

  daemon-group = nix-users
  

  重启Nix守护进程生效：

  sudo systemctl restart nix-daemon
  

• 将套接字挂载到容器，同时映射宿主机用户ID/组ID到容器：

  docker run -v /run/nix/daemon-socket/socket:/run/nix/daemon-socket/socket \
             --user $(id -u):$(id -g) \
             ...
  

  这样容器内的用户能通过nix-users组权限访问守护进程套接字，无需root权限。

3. 容器内配置Nix环境 #

容器内需要同步宿主机的NIX_PATH环境变量，确保能正确找到Nix通道和配置：

• 启动容器时通过环境变量传递：

  docker run -e NIX_PATH="$NIX_PATH" ...
  

• 或者在Dockerfile中预先配置：

  ENV NIX_PATH=/nix/var/nix/profiles/per-user/root/channels
  

关键安全注意事项 #

• 绝对不要使用--privileged参数，这会赋予容器宿主机的完全控制权。
• 仅挂载必要的资源：只挂载/nix（只读）和Nix守护进程套接字，避免挂载其他敏感宿主机目录。
• 保持宿主机与容器的Nix版本一致，避免因版本差异导致的兼容性问题。
• 定期检查/run/nix/daemon-socket/socket的权限，确保仅nix-users组拥有读写权限。

内容的提问来源于stack exchange，提问作者tobiasBora