Docker用户组介绍以及管理策略

超龄超能程序猿

已于 2025-08-07 09:45:05 修改

阅读量271

点赞数 5

CC 4.0 BY-SA版权

分类专栏：安装管理工具文章标签： docker 容器运维

于 2025-08-07 09:43:34 首次发布

10 篇文章

订阅专栏

在Docker环境中，用户组（尤其是默认的docker组）是管理用户与Docker守护进程交互权限的核心机制。以下从概念介绍和具体管理操作两方面详细说明：

在这里插入图片描述

Docker守护进程（dockerd）默认通过Unix套接字（/var/run/docker.sock）与客户端（docker命令）通信，而非TCP端口。该套接字的权限默认配置为：

因此，docker用户组的核心作用是：允许非root用户直接执行docker命令（无需每次添加sudo），从而简化Docker操作流程。

Docker安装时（如通过apt或yum）通常会自动创建docker组，可通过以下命令验证：

# 查看系统中是否存在docker组
grep docker /etc/group
# 或
getent group docker

若输出类似docker:x:999:，则表示docker组已存在（999为组ID，可能不同）。

若未自动创建（如源码安装或特殊环境），可手动创建：

sudo groupadd docker

将指定用户（如当前登录用户$USER）加入docker组，使其获得Docker操作权限：

# 添加当前用户到docker组（-aG表示追加到组，避免覆盖原有组）
sudo usermod -aG docker $USER

# 若需添加其他用户（如user1），替换$USER为用户名即可
sudo usermod -aG docker user1

用户加入docker组后，需注销并重新登录（或重启系统），才能让权限生效。
若需临时生效（无需注销），可使用newgrp命令切换当前会话的组环境：

newgrp docker

检查目标用户是否成功加入docker组：

# 查看当前用户所属的所有组
groups

# 或指定用户（如user1）
groups user1

若输出中包含docker，则表示添加成功。

若需回收用户的Docker权限，可将其从docker组中移除：

# 移除用户user1从docker组（-d表示删除）
sudo gpasswd -d user1 docker

docker组的权限本质依赖于/var/run/docker.sock的访问控制，默认权限为root:docker且0660（仅所有者和组内用户可读写）。
不建议修改此文件的权限（如改为0777），否则会导致任何用户都能操作Docker，存在严重安全风险。

安全风险：
docker组的用户拥有与root等效的权限（例如：可通过docker run --privileged挂载主机目录、修改系统文件等）。因此，仅允许可信用户加入docker组，避免将不可信用户添加到该组。
权限生效问题：
若添加用户后仍需sudo才能执行docker命令，需检查：
- 是否已重新登录（或执行newgrp docker）；
- /var/run/docker.sock的权限是否为root:docker且0660；
- 用户是否确实在docker组中（通过groups命令验证）。
Docker守护进程重启：
若修改了/var/run/docker.sock的权限或docker组配置，需重启Docker守护进程使变更生效：
```
sudo systemctl restart docker
```