Docker-in-Docker wrapdocker脚本详解：文件描述符管理和cgroup挂载-CSDN博客

Docker-in-Docker wrapdocker脚本详解：文件描述符管理和cgroup挂载

【免费下载链接】dind Docker in Docker 项目地址: https://gitcode.com/gh_mirrors/di/dind

Docker-in-Docker（DinD）技术让开发者能够在Docker容器内部运行另一个Docker守护进程，为CI/CD流水线和隔离开发环境提供了强大支持。本文将深入解析DinD项目中的核心脚本——wrapdocker，重点探讨其在文件描述符管理和cgroup挂载方面的关键实现，帮助开发者理解DinD背后的技术细节。

图：Docker-in-Docker技术架构示意图，展示容器嵌套运行的核心概念

为什么需要wrapdocker脚本？

wrapdocker是DinD项目的启动脚本，位于项目根目录下的wrapdocker文件。它解决了两个关键问题：

容器环境初始化：确保Docker守护进程在容器内能够正确访问必要的系统资源
进程隔离与资源控制：通过cgroup配置实现容器内的资源管理

没有这个脚本，直接在容器内启动Docker守护进程会面临权限不足、资源访问受限等问题，导致容器无法正常工作。

cgroup挂载：为Docker守护进程构建资源隔离环境

cgroup（控制组）是Linux内核提供的资源管理机制，wrapdocker脚本的核心功能之一就是正确配置cgroup环境。

1. cgroup文件系统初始化

脚本首先检查并创建cgroup挂载点：

CGROUP=/sys/fs/cgroup
[ -d $CGROUP ] || mkdir $CGROUP
mountpoint -q $CGROUP || mount -n -t tmpfs -o uid=0,gid=0,mode=0755 cgroup $CGROUP

这段代码确保了/sys/fs/cgroup目录存在并以tmpfs文件系统类型挂载，为后续的cgroup子系统挂载奠定基础。

2. 安全文件系统挂载

为了支持AppArmor等安全机制，脚本还会挂载securityfs：

if [ -d /sys/kernel/security ] && ! mountpoint -q /sys/kernel/security
then
    mount -t securityfs none /sys/kernel/security
fi

3. 子系统挂载与兼容处理

脚本通过读取/proc/1/cgroup获取父系统的cgroup配置，并在容器内创建对应的挂载点：

for SUBSYS in $(cut -d: -f2 /proc/1/cgroup)
do
    [ -d $CGROUP/$SUBSYS ] || mkdir $CGROUP/$SUBSYS
    mountpoint -q $CGROUP/$SUBSYS ||
        mount -n -t cgroup -o $SUBSYS cgroup $CGROUP/$SUBSYS
done

特别值得注意的是，脚本还处理了系统d和OpenRC等不同init系统可能导致的cgroup挂载差异，通过创建符号链接解决潜在的兼容性问题：

echo $SUBSYS | grep -q ^name= && {
    NAME=$(echo $SUBSYS | sed s/^name=//)
    ln -s $SUBSYS $CGROUP/$NAME
}

文件描述符管理：确保容器资源正确释放

在容器环境中，文件描述符的管理至关重要。wrapdocker脚本通过关闭不必要的文件描述符，确保Docker守护进程能够正确启动并运行。

智能关闭多余文件描述符

脚本使用以下代码关闭除标准输入、输出和错误之外的所有文件描述符：

pushd /proc/self/fd >/dev/null
for FD in *
do
    case "$FD" in
    # 保留标准输入/输出/错误
    [012])
        ;;
    # 关闭其他所有文件描述符
    *)
        eval exec "$FD>&-"
        ;;
    esac
done
popd >/dev/null

这一操作可以防止宿主机的文件描述符泄露到容器内的Docker守护进程，同时避免资源耗尽问题。

清理残留PID文件

为了确保Docker守护进程能够正常启动，脚本还会清理可能残留的PID文件：

rm -rf /var/run/docker.pid

Docker守护进程启动流程

完成环境配置后，wrapdocker脚本根据环境变量决定如何启动Docker守护进程：

端口模式：如果提供了PORT环境变量，将Docker守护进程绑定到指定端口
后台模式：默认情况下，Docker守护进程在后台运行，并等待其启动完成
交互式模式：启动完成后，脚本会启动一个bash shell，方便用户交互

核心启动代码如下：

if [ "$PORT" ]
then
    exec dockerd -H 0.0.0.0:$PORT -H unix:///var/run/docker.sock $DOCKER_DAEMON_ARGS
else
    dockerd $DOCKER_DAEMON_ARGS &
    # 等待Docker守护进程启动
    until docker info >/dev/null 2>&1
    do
        sleep 1
    done
    exec bash --login
fi

多发行版支持：DinD的容器化策略

DinD项目提供了多种Linux发行版的支持，通过不同目录下的Dockerfile实现：

alpine/Dockerfile：基于Alpine Linux的轻量级镜像
archlinux/Dockerfile：面向Arch Linux用户的镜像
fedora/Dockerfile：Fedora系统的Dockerfile
opensuse/Dockerfile：openSUSE系统的实现

这些Dockerfile都使用了相同的wrapdocker脚本，展示了该脚本在不同环境下的通用性和可移植性。

总结：wrapdocker脚本的核心价值

wrapdocker脚本作为DinD技术的关键组件，通过以下方式确保了Docker-in-Docker环境的稳定性和可靠性：

标准化cgroup配置：无论宿主机环境如何，都为容器内Docker守护进程提供一致的cgroup环境
资源隔离与安全：通过文件描述符管理和安全文件系统挂载，增强了容器环境的安全性
跨发行版兼容：单一脚本适配多种Linux发行版，降低了维护成本

对于需要在CI/CD流水线或隔离开发环境中使用Docker-in-Docker的开发者来说，理解wrapdocker脚本的工作原理，能够帮助他们更好地配置和优化自己的容器环境，避免常见的权限和资源问题。

要开始使用Docker-in-Docker，你可以通过以下命令克隆项目仓库：

git clone https://gitcode.com/gh_mirrors/di/dind

然后根据项目中的Dockerfile构建适合你环境的镜像，体验Docker-in-Docker带来的强大功能！

【免费下载链接】dind Docker in Docker 项目地址: https://gitcode.com/gh_mirrors/di/dind

创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考