安装 Docker 后普通用户需加入 docker 组才能免 sudo 操作，执行 sudo usermod -aG docker $USER 并 newgrp docker 激活权限；验证用 docker run hello-world 和 docker ps；但该组等同 root 权限，须严格控制可信用户。
安装 Docker 后，默认只有 root 用户或 sudo 用户能执行 docker 命令，因为 Docker 守护进程通过 Unix socket（/var/run/docker.sock）通信，该 socket 文件属主为 root:docker。要让普通用户免 sudo 操作容器，核心是把用户加入 docker 用户组，并确保权限生效。
创建并加入 docker 用户组
Docker 安装时通常已自动创建 docker 组。若未创建，先手动建立：
-
创建组：
sudo groupadd docker -
将当前用户加入组：
sudo usermod -aG docker $USER -
立即激活组权限（无需登出）：
newgrp docker或重启终端
验证权限是否生效
运行以下命令测试：
-
docker run --rm hello-world—— 应成功输出欢迎信息 -
docker ps—— 应能列出运行中的容器，无permission denied报错 -
groups—— 输出中应包含docker
安全注意事项
将用户加入 docker 组等价于授予其近乎 root 的能力，因为可挂载宿主机任意路径、读取敏感文件、逃逸到宿主机。务必注意：
- 仅将可信用户加入该组，避免在生产环境随意开放
- 不要同时配置
sudo NOPASSWD+docker组，会叠加风险 - 如需更细粒度控制，考虑用 Rootless Docker 或 Podman 替代
（可选）限制用户只能运行特定容器
单纯靠用户组无法限制具体操作。若需进一步约束，可结合：
-
容器运行时参数：启动时加
--read-only、--cap-drop=ALL、--security-opt no-new-privileges -
Kubernetes 场景：用
PodSecurityContext.runAsNonRoot: true和runAsUser强制非 root 运行 -
审计与日志：启用
dockerd的--log-driver=syslog或集成 Falco 监控异常行为
