使用自定义Docker镜像在AWS CodeBuild托管环境中无法连接Docker守护进程

核心问题分析 #

你遇到的报错根源在于：自定义镜像未正确配置与CodeBuild托管环境宿主Docker守护进程的连接，同时文档提供的命令路径与Amazon Linux 2023的Docker安装路径不匹配。以下是分步解决方法：

1. 修正Dockerd路径错误 #

通过yum在Amazon Linux 2023上安装的Docker，其dockerd二进制文件路径为/usr/bin/dockerd，而非文档中的/usr/local/bin/dockerd——这是启动命令报错的直接原因。但注意：若你目标是复用宿主Docker守护进程，完全不需要在容器内启动dockerd，这是Docker-in-Docker的做法，你可以跳过该步骤，专注解决socket访问问题。

2. 配置Volume挂载宿主Docker Socket #

CodeBuild标准镜像默认会自动挂载宿主的/var/run/docker.sock到容器，但自定义镜像需要手动配置该Volume：

修改CDK代码添加Volume配置

const pipelineProject = new PipelineProject(this, "PipelineProject", {
  projectName: "Pipeline",
  environment: {
    buildImage: LinuxArmBuildImage.fromEcrRepository(pipelineRepo),
    privileged: true,
    computeType: ComputeType.SMALL,
    // 添加宿主Docker Socket挂载配置
    volumes: [
      {
        name: "docker-sock",
        location: "/var/run/docker.sock"
      }
    ]
  },
  buildSpec: BuildSpec.fromSourceFilename("buildspec.yml"),
});

修改buildspec.yml挂载Volume

version: 0.2

# 挂载宿主Docker Socket到容器内对应路径
volumes:
  - name: docker-sock
    mountPath: /var/run/docker.sock

phases:
  build:
    commands:
      - docker build -t helloworld .
      - docker run helloworld

3. 确保Docker客户端与宿主Daemon版本兼容 #

CodeBuild托管环境的宿主Docker版本与standard镜像绑定（如standard:5.0对应Docker 20.10.x），自定义镜像中安装的Docker客户端版本需与宿主版本兼容，否则会出现连接失败问题。修改你的Dockerfile.pipeline安装匹配版本：

FROM public.ecr.aws/amazonlinux/amazonlinux:2023
# 替换为与CodeBuild standard:5.0匹配的Docker版本
RUN yum install -y docker-20.10.23-1.amzn2023.0.1

4. 解决Docker Socket权限问题 #

默认情况下，CodeBuild容器内的用户无访问/var/run/docker.sock的权限，在buildspec的install阶段添加权限配置：

version: 0.2

volumes:
  - name: docker-sock
    mountPath: /var/run/docker.sock

phases:
  install:
    commands:
      # 将当前用户加入docker组
      - usermod -aG docker $USER
      # 无需重新登录即可刷新组权限
      - newgrp docker
  build:
    commands:
      - docker build -t helloworld .
      - docker run helloworld

方案适用性说明 #

• 复用宿主Docker守护进程的方案完全适用于CodeBuild托管环境，并非仅支持自定义实例。该方案能避免Docker-in-Docker的资源冗余、存储层隔离等弊端，是更高效的选择。
• 你无需强制使用Docker-in-Docker方案，只要完成上述配置，即可实现自定义镜像与宿主Docker守护进程的正常连接。

内容的提问来源于stack exchange，提问作者Mambo