执行 `docker run hello-world` 命令时出现 `permission denied while trying to connect to the Docker daemon socket` 错误，而使用 `sudo docker run hello-world` 却能成功，其核心原因是 **Linux 系统的文件权限控制机制**。具体而言，是当前执行命令的用户对 Docker 守护进程（`dockerd`）用于通信的 Unix 域套接字文件 `/var/run/docker.sock` 没有读写权限 [ref_1][ref_2][ref_3][ref_4][ref_5][ref_6]。下表清晰地展示了两种执行方式的权限差异： | 执行方式 | 有效用户身份 | 对 `/var/run/docker.sock` 的访问权限 | 结果 | | :--- | :--- | :--- | :--- | | `docker run ...` | 当前普通用户 (如 `maoyachun`) | **默认无权限**，除非用户是 `docker` 组成员 | **连接被拒绝，命令失败** | | `sudo docker run ...` | **超级用户 (`root`)** | **拥有完全权限** | **连接成功，命令执行** | ### **一、问题根源深度解析：Docker 的 C/S 架构与权限模型** 1. **Docker 的客户端-服务器架构**：当您运行任何 `docker` 命令（如 `run`, `ps`, `images`）时，实际上是在调用 Docker **客户端**（CLI）。该客户端并不会直接操作容器或镜像，而是需要通过网络向 Docker **守护进程**（`dockerd`，即服务端）发送 API 请求来执行实际操作 [ref_1][ref_4]。 2. **默认通信通道：Unix 套接字**：在 Linux 系统上，Docker 守护进程默认创建一个名为 `/var/run/docker.sock` 的 Unix 域套接字文件，并监听于此，等待客户端连接 [ref_1][ref_4]。这是一种高效的本地进程间通信（IPC）机制。 3. **严格的套接字文件权限**：出于安全考虑，`/var/run/docker.sock` 文件的权限在安装 Docker 后通常被设置为仅允许 `root` 用户和 `docker` 用户组的成员进行读写。您可以通过 `ls -l` 命令查看其权限： ```bash ls -l /var/run/docker.sock ``` 典型输出如下： ```bash srw-rw---- 1 root docker 0 Aug 28 10:00 /var/run/docker.sock ``` * `srw-rw----`：开头的 `s` 表示这是一个套接字文件。权限 `rw-rw----` 表示： * **文件所有者 (`root`)**：拥有读(`r`)写(`w`)权限。 * **所属组 (`docker`)**：拥有读(`r`)写(`w`)权限。 * **其他用户**：没有任何权限(`-`)。 4. **权限验证过程**： * 当您以普通用户身份执行 `docker run hello-world` 时，Docker 客户端尝试连接 `/var/run/docker.sock`。 * 操作系统检查发现，当前用户既不是文件所有者 `root`，也不属于 `docker` 组。因此，根据“其他用户无权限”的规则，**内核立即拒绝此次连接请求**，并返回 “Permission Denied” 错误 [ref_1][ref_2][ref_3][ref_4][ref_5][ref_6]。 * 当您使用 `sudo` 执行命令时，`sudo` 会临时将您的权限提升至 `root`。此时，Docker 客户端以 `root` 身份运行，而 `root` 是套接字文件的所有者，拥有完全权限，因此连接成功，命令得以执行 [ref_2][ref_6]。 ### **二、标准解决方案：将用户添加到 `docker` 组** 长期、安全且便捷的解决方案是将您的普通用户账户添加到 `docker` 用户组中。这样，您就无需每次使用 `sudo`，同时遵循了最小权限原则。 **操作步骤如下：** 1. **将当前用户加入 `docker` 组**： ```bash sudo usermod -aG docker $USER ``` * `usermod`: 修改用户账户的命令。 * `-aG`: `-a` 表示“追加”，`-G` 指定要加入的组。这个组合确保将用户添加到 `docker` 组，而不会移除用户原有的其他组身份 [ref_1][ref_3][ref_4][ref_5][ref_6]。 * `$USER`: 环境变量，代表当前登录的用户名。 2. **激活新的组权限**：用户组信息的更改不会立即应用于当前已登录的会话。您需要**注销并重新登录系统**，或者打开一个新的终端窗口。也可以在当前会话中执行以下命令来立即生效（启动一个继承新组信息的子shell）： ```bash newgrp docker ``` [ref_3][ref_4][ref_5][ref_6] 3. **验证组成员身份**： ```bash groups ``` 确认输出列表中包含 `docker`。 4. **测试 Docker 命令**：完成上述步骤后，再次运行 `docker run hello-world`（不带 `sudo`），应该能够成功执行。 ### **三、其他方案对比与风险说明** | 方案 | 命令/操作 | 优点 | 缺点与风险 | 推荐度 | | :--- | :--- | :--- | :--- | :--- | | **加入 `docker` 组** | `sudo usermod -aG docker $USER` | 一劳永逸，使用方便，相对安全（遵循组权限管理）。 | 需要重新登录或 `newgrp` 生效。**注意**：加入 `docker` 组实质上赋予了用户运行任意 Docker 命令的能力，而 Docker 守护进程以 root 运行，这意味着组内用户能间接获取 root 权限。应仅将受信任的用户加入此组 [ref_1][ref_4]。 | **推荐** | | **使用 `sudo`** | `sudo docker ...` | 无需修改配置，临时可用。 | 每次都需要输入密码（可配置免密，但有风险）；所有 Docker 命令都以 root 权限执行，可能产生权限混乱的文件（如容器内创建的文件宿主为 root）；不符合安全最佳实践 [ref_2]。 | 临时使用 | | **修改套接字文件权限（危险）** | `sudo chmod 666 /var/run/docker.sock` | 所有用户都能直接使用 Docker。 | **极度危险！** 这使得系统上的**任何用户**（包括潜在的攻击者或恶意程序）都能直接与 Docker 守护进程通信，等同于赋予所有用户 root 权限，会造成严重的安全漏洞 [ref_1]。 | **严禁使用** | ### **四、总结** 只有使用 `sudo` 才能成功执行 `docker run` 命令，是因为 Docker 守护进程的通信套接字 `/var/run/docker.sock` 默认只允许 `root` 用户和 `docker` 用户组成员访问 [ref_1][ref_2][ref_3][ref_4][ref_5][ref_6]。`sudo` 临时将您的权限提升至 `root`，从而通过了权限检查。要永久解决此问题，最恰当的方式是执行 `sudo usermod -aG docker $USER` 将您的用户添加到 `docker` 组，然后重新登录或使用 `newgrp docker` 使更改生效。这避免了频繁使用 `sudo` 的麻烦和安全风险，是 Docker 官方推荐的做法。