内容简介：背景：最近在使用Jenkins搭建CICD的环境时，考虑使用Docker官网提供的image (jenkins/jenkins:lts)来直接搭建。要想让Jenkins的job中直接build出一个镜像，免不了需要在Jenkins容器使用Docker命令，于是就引出了今天的话题，在Docker中使用Docker的两种方式：DinD和DooD什么是Docker in Docker(DinD)
背景：最近在使用Jenkins搭建CICD的环境时，考虑使用 Docker 官网提供的image (jenkins/jenkins:lts)来直接搭建。要想让Jenkins的job中直接build出一个镜像，免不了需要在Jenkins容器使用Docker命令，于是就引出了今天的话题，在Docker中使用Docker的两种方式：DinD和DooD
什么是Docker in Docker(DinD)
在容器中安装一个全新的完整的隔离的Docker版本，该容器和外部的Docker系统完全隔离，
在Docker官方有镜像直接就能用 官方DinD镜像
你可以直接使用下面的命令启动一个Docker容器：
docker run --privileged --name some-docker -d docker:stable-dind
注意：这里有一个前提条件就是，你的Docker版本必须支持 –privileged 参数.Docker的官方文档同时也提醒你，使用了该参数之后，该容器就有了最高权限，在容器中你几乎可以做跟宿主机上同样的任何事情，所以要小心使用。
这时当你进入这个新的容器后执行：
docker images REPOSITORY TAG IMAGE ID CREATED SIZE / #
你会看到没有任何镜像显示出来，因为这是一个全新的容器，并且和你宿主机上的Docker系统隔离，所以还没有任何一个镜像。
DinD可能遇到的问题:
1. 关于 Linux 安全模块（AppArmor and SELinux）。 “内部Docker”使用的安全策略很可能与“外部Docker”的安全策略有冲突。比如我在Debian系统的机器上跑了一个Ubuntu的VM来测试我的Docker image，测试都通过了。但是我的同事用了一个Fedora的VM测试image就失败了。
2. 关于存储的驱动问题。外部Docker可能跑在下面这些正常的文件系统之上（EXT4，BTRFS,等等），但是“内部Docker”可能是跑在一个copy-on-write系统之上（AUFS，BTRFS，Device Mapper等等），那么内部和外部所使用的存储驱动的组合有很多是不能同时工作的。比如你不能内外部同时都用AUFS。
3. 关于build cache的问题。(此处还需要继续研究才能展开讨论)
因此，你用来学习的时候，是可以用DinD的，但是在世界生产环境中一般用不到。就是因为DinD可能会出现很多意想不到的问题，比如上面我们谈到的那些。
什么是Docker-outside-of-Docker(DooD)
是指通过加载宿主Docker socket和程序的方式达成重用宿主镜像的目的。
通常情况下，大多数人并不是真正想使用Docker-in-Docker， 而只是想在类似Jenkins的CI系统里运行Docker命令。如何做呢， 最简单的方式是在启动容器的时候以-v的方式挂载宿主机的Docker的socket给你的新的容器使用。类似这样使用(仅列出最相关的-v参数，其他忽略)：
docker run -v /var/run/docker.sock:/var/run/docker.sock ...
这样的话，这个新的容器就可以访问到宿主机的Docker socket并且使用它，因此这个容器就有能力启动容器，这样他启动和操作的容器和它本身是平级的兄弟关系。
DooD可能遇到的问题就是jenkins用户 (这里以jenkins CI为例) 没有权限运行docker命令。
解决办法1:
需要赋予jenkins用户sudo权限以便能在容器内运行Docker命令。
所以在我们的Dockerfile中可以要这样写(这里仅截取Dockerfile中最相关的那一小段代码，全部代码请参见另外一篇如何使用Docker版的Jenkins做CICD的文章)：
RUN apt-get update \ && apt-get install -y sudo \ && rm -rf /var/lib/apt/lists/* RUN echo "jenkins ALL=NOPASSWD: ALL" >> /etc/sudoers
解决办法2：
或者我们也可以将jenkins用户加入到Docker组中来解决(不过这样可能有一个潜在的小问题就是，这个组gid的不同会造成不可移植)
Dockerfile中可以这样写:
ARG dockerGid=999
RUN echo "docker:x:${dockerGid}:jenkins" >> /etc/group
然后我们就可以运行下面命令去build一个自己的Jenkins image：
Docker build –rm –t myjenkins .
最后用下面命令完成DooD的启动：
docker run -p 9090:8080 -p 50000:50000 --name my_jenkins \ --restart=always \ -v $(which docker):/usr/bin/docker \ -v /var/run/docker.sock:/var/run/docker.sock \ -d myjenkins:latest
结论：最后总结一下，当你需要在自己创建的容器中使用docker命令的时候，
DinD一般只是在学习的时候使用，但是如果你想实现镜像对宿主的隐藏和隔离，则可以用DinD。
DooD能重用并且缓存宿主机上的镜像，通常情况下这才是我们真正想在容器中运行docker命令时应该使用的方法。
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持 码农网
猜你喜欢:
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
