在Jenkins中使用Docker Pipeline遇到权限被拒绝的问题

70次阅读

问题描述

在使用Jenkins部署的Kubernetes集群上，希望能够通过Docker Pipeline运行Helm命令来在Kubernetes集群上部署Helm应用。用户的Jenkinsfile中包含以下内容：

pipeline {
    agent {
        docker { image 'alpine/helm' }
    }
    stages {
        stage('Deploy') {
            steps {
                sh 'helm ls'
            }
        }
    }
}

用户已经在Jenkins中设置了Kubernetes认证，与集群的连接没有问题。然而，用户在执行上述流程时遇到以下错误：

+ docker inspect -f . alpine/helm
Got permission denied while trying to connect to the Docker daemon socket at unix:///var/run/docker.sock: Get http://%2Fvar%2Frun%2Fdocker.sock/v1.38/containers/alpine/helm/json: dial unix /var/run/docker.sock: connect: permission denied
...

用户想知道是什么原因导致了这个问题，以及如何解决。

解决方案

在Jenkins中使用Docker Pipeline时，需要注意Docker容器内部对Docker守护程序的访问权限。默认情况下，容器内部无法直接访问宿主机上的Docker守护程序。以下是解决这个问题的方法：

添加Jenkins用户到Docker组

运行以下命令将Jenkins用户添加到Docker组（需要root权限）：
bash sudo usermod -aG docker jenkins
这会将Jenkins用户加入到Docker组中，允许其在容器内部访问宿主机上的Docker守护程序。

使用特权模式（慎用）

请注意，使用特权模式可能会带来安全风险，请谨慎使用。
在用户提供的Jenkins的values.yaml文件中，存在以下部分：

agent:
  privileged: true
  ...

将privileged设置为true会赋予Jenkins容器更高的权限，使其在容器内部能够访问宿主机上的Docker守护程序。然而，这样做可能会增加潜在的安全风险，因为容器内的操作可能影响到宿主机的整体安全性。

使用HostPath挂载Docker套接字

另一种方法是通过在Jenkins容器内挂载宿主机上的Docker套接字来实现对Docker守护程序的访问：
1. 在用户提供的values.yaml文件中，添加以下配置：
yaml volumes: - type: HostPath hostPath: path: /var/run/docker.sock mountPath: /var/run/docker.sock
这将在Jenkins容器内部挂载宿主机上的Docker套接字，使其能够与宿主机上的Docker守护程序进行通信。

通过上述方法之一，您可以在Jenkins容器内部访问宿主机上的Docker守护程序，从而解决权限被拒绝的问题。根据您的安全需求和使用情况，选择最适合您的解决方案。

请注意，特权模式和HostPath挂载都需要谨慎使用，以确保系统的安全性和稳定性。