返回

解决Jenkins节点Docker权限问题：终极指南

Linux

Jenkins 节点中 Docker 权限问题排查与解决

在 Jenkins CI/CD 流水线中，当使用 Docker 执行构建任务时，遇到 “permission denied” 错误是一个常见问题。 这通常表示 Jenkins 用户没有足够的权限访问 Docker daemon。本文将深入探讨该问题的原因，并提供几种解决方案。

问题分析

错误信息 “permission denied while trying to connect to the Docker daemon socket” 表明 Jenkins 进程尝试通过 Unix socket /var/run/docker.sock 与 Docker daemon 通信时，由于权限不足而被拒绝。这通常有以下几个原因：

  • Docker Socket 权限: /var/run/docker.sock 默认归 root 用户所有，且通常只有 root 用户和 docker 用户组有访问权限。
  • Jenkins 用户权限: Jenkins 运行用户（通常是 jenkins）没有加入 docker 用户组，或者用户组权限设置不正确。
  • 权限持久化问题: 即使手动更改了 Docker socket 的权限或将 Jenkins 用户添加到 docker 用户组，某些情况下，这些更改可能不会持久保存，例如系统重启或 Docker 服务重启后。

解决方案

以下是几种解决 Jenkins 节点中 Docker 权限问题的方案：

  1. 将 Jenkins 用户添加到 docker 用户组

    这是最常用的解决方案。通过将 Jenkins 用户添加到 docker 用户组，Jenkins 进程就能以 docker 用户组的身份访问 Docker daemon。

    • 操作步骤:

      • 将 Jenkins 用户添加到 docker 用户组:

        sudo usermod -aG docker jenkins

      • 重新启动 Jenkins 服务以使更改生效：

        sudo systemctl restart jenkins

      • 验证 Jenkins 用户是否已成功添加到 docker 用户组：

        groups jenkins

        输出应该包含 docker 用户组。

    • 原理: Docker daemon 启动时会创建一个 Unix socket /var/run/docker.sock，并将其所有权设置为 root 用户和 docker 用户组。添加到 docker 用户组的用户可以通过该 socket 与 Docker daemon 通信。
    • 安全建议: 将用户添加到 docker 用户组相当于赋予该用户 root 级别的 Docker 控制权。确保仅将必要的、受信任的用户添加到此组。

  2. 更改 Docker Socket 的访问权限

    尽管不推荐，但可以直接更改 Docker socket 的访问权限，使其对其他用户可读写。

    • 操作步骤:
      • 更改 Docker socket 的权限: 
        sudo chmod 666 /var/run/docker.sock
        或
      sudo chmod o+rw /var/run/docker.sock
    • 原理: 此命令将 /var/run/docker.sock 的权限设置为对所有用户可读写。
    • 安全建议: 这是一个安全风险较高的方法，因为它允许系统上的任何用户控制 Docker daemon。 尽量避免使用此方法， 优先考虑将 Jenkins 用户添加到 docker 用户组。

  3. 使用 TCP socket 连接 Docker daemon (不推荐)

    可以配置 Docker daemon 监听 TCP 端口，Jenkins 通过 TCP socket 与 Docker daemon 通信。

    • 操作步骤:
      • 编辑 Docker daemon 配置文件 /etc/docker/daemon.json，添加以下内容： 
        {
  "hosts": ["unix:///var/run/docker.sock", "tcp://0.0.0.0:2375"]
}
      • 重新启动 Docker 服务： 
        sudo systemctl restart docker
      • 在 Jenkins pipeline 中配置 Docker 连接，使用 TCP socket tcp://<Docker Host IP>:2375。
    • 原理: Docker daemon 可以同时监听 Unix socket 和 TCP socket。 通过配置 TCP socket，可以允许远程客户端访问 Docker daemon。
    • 安全建议: 监听 TCP 端口会增加 Docker daemon 的安全风险，因为任何能够访问该端口的网络用户都可以控制 Docker daemon。 如果必须使用此方法，请务必配置防火墙，限制允许访问该端口的 IP 地址，并启用 TLS 加密以保护通信安全。

  4. 使用 sudo 命令 (仅限调试时临时使用)

    可以在 Jenkins pipeline 中使用 sudo 命令执行 Docker 命令。

    • 操作步骤:
      • 在 Jenkins pipeline 的 Docker 命令前添加 sudo： 
        steps {
    sh 'sudo docker build -t my-image .'
}
    • 原理: 此方法允许 Jenkins 进程以 root 用户身份执行 Docker 命令，但这需要 Jenkins 用户有 sudo 权限，且不是一个安全的长期解决方案。
    • 安全建议: 此方法只适用于调试目的，不建议在生产环境中长期使用。 使用此方法之前，需要确保已经配置 jenkins 用户具有 NOPASSWD sudo 权限访问Docker相关的命令。 请谨慎配置 /etc/sudoers， 添加jenkins用户 NOPASSWD 的 sudo 规则， 具体内容如下： 
      jenkins ALL=(ALL) NOPASSWD: /usr/bin/docker, /usr/local/bin/docker-compose

总结

解决 Jenkins 节点中的 Docker 权限问题，最好的办法是将 Jenkins 用户添加到 docker 用户组，既能解决问题又相对安全。 更改 Docker Socket 的访问权限和使用 TCP socket 连接 Docker daemon 都有一定的安全风险，需要谨慎使用。 使用 sudo 命令则应该只用于调试目的。 根据实际情况选择合适的解决方案，并注意安全风险，保障系统安全。

相关资源