Docker：非root用户启动操作docker
摘要：docker，linux
问题复现
一般都是用root用户启动和操作docker，当是普通用户运行容器启动项目时报错没有权限
(base) ubuntu@VM-16-11-ubuntu:~$ docker images
Got permission denied while trying to connect to the Docker daemon socket at unix:///var/run/docker.sock: Get "http://%2Fvar%2Frun%2Fdocker.sock/v1.24/images/json": dial unix /var/run/docker.sock: connect: permission denied
原因分析
docker守护进程后台启动时，需要读取Unix套接字/var/run/docker.sock，这个文件root所有，docker用户组可操作，因此普通非docker组的用户没有权限访问
ll /var/run/docker.sock
srw-rw---- 1 root docker 0 Oct 29 22:20 /var/run/docker.sock=
类似的MySQL客户端也可以使用socket进行连接，文件在/var/run/mysqld/mysqld.sock
root@ubuntu:~$ ll /var/run/mysqld/mysqld.sock
srwxrwxrwx 1 mysql mysql 0 12月 12 21:48 /var/run/mysqld/mysqld.sock=
默认是777权限，如果改成770，则非root用户或者非mysql组用户也将无法连接MySQL
root@ubuntu:~# chmod 770 /var/run/mysqld/mysqld.sock
root@ubuntu:~# ll /var/run/mysqld/mysqld.sock
srwxrwx--- 1 mysql mysql 0 12月 12 21:48 /var/run/mysqld/mysqld.sock=
退出root用户，普通用户无法报错无法通过socket连接
root@ubuntu:~# exit
exit
xiaogp@ubuntu:~$
xiaogp@ubuntu:~$ mysql -u -p
ERROR 2002 (HY000): Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock' (13)
解决方案
（1）使用sudo免密码运行
本质上还是使用root运行docker，只是在启动的时候可以以root用户启动docker，为了避免每次启动需要输入密码，需要给普通用户sudo权限以及可以免密码方式登录。
在/etc/sudoers文件中设置免密码
(base) test@VM-16-11-ubuntu:~$ sudo vim /etc/sudoers
test ALL=(ALL:ALL) NOPASSWD: ALL
此时再使用sudo运行docker即可，在其他shell脚本中docker run前面增加sudo
(base) test@VM-16-11-ubuntu:~$ sudo docker images
REPOSITORY TAG IMAGE ID CREATED SIZE
python 3.7 0b3f272343d3 6 weeks ago 903MB
mysql latest ecac195d15af 7 weeks ago 516MB
如果不使用sudo则无权限操作docker
(base) test@VM-16-11-ubuntu:~$ docker images
Got permission denied while trying to connect to the Docker daemon socket at unix:///var/run/docker.sock: Get "http://%2Fvar%2Frun%2Fdocker.sock/v1.24/images/json": dial unix /var/run/docker.sock: connect: permission denied
（2）将用户添加到docker组
docker安装之后默认会创建docker组，docker组拥有读取套接字权限，因此将该普通用户加入docker组，该组下所有用户有访问unix套接字权限，最后刷新用户的初始组即可。
先查看是否有docker用户，如果没有需要手动增加
(base) test@VM-16-11-ubuntu:~$ sudo cat /etc/group |grep docker
docker:x:999:
sudo groupadd docker
如果/var/run/docker.sock的用户组不是docker而是root需要使用chgrp修改一下
# ll /var/run/docker.sock
srw-rw---- 1 root root 0 Oct 29 22:20 /var/run/docker.sock=
chgrp docker /var/run/docker.sock=
将普通用户添加到docker组
(base) test@VM-16-11-ubuntu:~$ sudo gpasswd -a test docker
Adding user test to group docker
此时查看test用户所在的组
(base) test@VM-16-11-ubuntu:~$ id
uid=1002(test) gid=1002(test) groups=1002(test)
发现还是没有docker组，使用newgrp刷新以下用户的初始组
(base) test@VM-16-11-ubuntu:~$ newgrp docker
此时再次查看用户的组以已经出现docker
(base) test@VM-16-11-ubuntu:~$ id
uid=1002(test) gid=1002(test) groups=1002(test),999(docker)
然后直接以用户操作docker即可
(base) test@VM-16-11-ubuntu:~$ docker images
REPOSITORY TAG IMAGE ID CREATED SIZE
python 3.7 0b3f272343d3 6 weeks ago 903MB
mysql latest ecac195d15af 7 weeks ago 516MB
或者不使用newgrp直接重新登录即可
gpasswd和newgrp
gpasswd是linux下组管理工具，用户添加用户到组和从组中删除用户，必须是sudo执行
(base) test@VM-16-11-ubuntu:~$ gpasswd --help
Usage: gpasswd [option] GROUP
Options:
-a, --add USER add USER to GROUP
-d, --delete USER remove USER from GROUP
...
测试删除和添加test用户于docker组
(base) test@VM-16-11-ubuntu:~$ sudo gpasswd -d test docker
Removing user test from group docker
此时退出终端重新登录则test的docker组消失，再添加进来
(base) test@VM-16-11-ubuntu:~$ sudo gpasswd -a test docker
Adding user test to group docker
添加之后在当前终端不能立刻生效，需要使用newgrp将新增加的组添加到用户组的集合中刷新，立即生效
(base) test@VM-16-11-ubuntu:~$ newgrp docker
以后退出登录后新登录进来用户的用户组都会更新生效
