Docker Rootless 模式运维管理自动化脚本编写实战-Docker-PHP中文网

rootless docker 运维需适配用户态特性：校验非 root 用户、linger、slirp4netns/fuse-overlayfs、xdg_runtime_dir 和 docker_host；用 systemd --user 管理生命周期；配置在 $home/.docker/daemon.json；日志依赖 journalctl --user；健康检查须验证 socket 连通性与容器状态。

启用 docker rootless 模式后，容器运行不再依赖 root 权限，但运维管理方式与传统 daemon 模式有明显差异：服务生命周期由用户态进程（如 dockerd-rootless.sh）控制，socket 路径非标准、环境变量需显式加载、systemd 用户服务需单独启用，且日志、重启、升级等操作不能直接复用 root 模式脚本。自动化脚本必须围绕用户上下文、session 生命周期和 rootless 特有约束来设计。

Rootless 环境初始化与依赖校验

脚本执行前需确认当前用户已满足 rootless 运行前提，避免后续失败。重点检查：
– 当前是否为非 root 用户且已配置 loginctl enable-linger（确保 user session 长期存活）
– slirp4netns 和 fuse-overlayfs 是否可用（rootless 存储与网络必需）
– $XDG_RUNTIME_DIR 是否存在且权限正确（通常为 /run/user/$(id -u)）
– Docker CLI 是否已指向 rootless socket（推荐通过 export DOCKER_HOST=unix://$XDG_RUNTIME_DIR/docker.sock 显式声明）

建议在脚本开头加入如下校验逻辑：

if [ "$(id -u)" = "0" ]; then
  echo "Error: must run as non-root user" >&2; exit 1
fi
if ! loginctl show-user "$USER" | grep -q "Linger=yes"; then
  echo "Warning: user lingering not enabled. Run: loginctl enable-linger $USER"
fi
for cmd in slirp4netns fuse-overlayfs; do
  if ! command -v "$cmd" >/dev/null; then
    echo "Missing required binary: $cmd" >&2; exit 1
  fi
done

Rootless Docker 启动/停止/状态管理

rootless docker 不通过系统级 systemd 启动，而是以普通进程运行在用户 session 中。官方推荐使用 dockerd-rootless.sh 启动，但该脚本默认前台阻塞，不适合直接用于自动化。实际脚本中应：

Docker Compose Linter

检查 docker-compose.yml 文件的安全问题、最佳实践和端口冲突

下载

使用 systemd --user start docker（前提是已安装并启用 ~/.config/systemd/user/docker.service），这是最稳定的方式
若未启用 systemd 用户服务，可后台启动并记录 PID：nohup dockerd-rootless.sh >$HOME/docker-rootless.log 2>&1 & echo $! >$HOME/docker-rootless.pid
停止时优先尝试 systemd --user stop docker；若失败，则读取 pid 文件并 kill，再清理 socket 和 state 目录（$XDG_RUNTIME_DIR/docker.sock、$HOME/.local/share/docker）
状态检查不应只看进程是否存在，而应调用 docker info --format '{{.ServerVersion}}' 2>/dev/null，能返回版本即表示服务就绪

自动化部署与配置同步

rootless 模式的配置文件位于 $HOME/.docker/daemon.json，而非 /etc/docker/daemon.json。脚本部署时需注意：

配置变更后必须重启 rootless daemon 才生效（仅 reload 不支持）
若需统一多台机器的 rootless 配置，建议将 daemon.json 模板 + 变量注入（如自定义 bridge IP、insecure-registries）结合 jq 工具生成，避免手动编辑
镜像缓存、构建上下文等 I/O 密集操作默认落在 $HOME/.local/share/docker，脚本中如需清理磁盘，应使用 docker system prune -af --volumes 并确保当前用户对 volume 目录有写权限
可配合 docker context 创建专用 rootless 上下文：docker context create myrootless --docker host=unix://$XDG_RUNTIME_DIR/docker.sock，后续命令显式指定 --context myrootless，提升可读性与隔离性

日志采集、健康巡检与异常恢复

rootless 日志默认输出到 stdout/stderr，无集中日志路径。自动化运维中需主动归集：

若使用 systemd 用户服务，日志可通过 journalctl --user-unit docker -n 100 实时获取；脚本中可定时拉取最近错误行（journalctl --user-unit docker -S "1 hour ago" | grep -i "error\|fail"）
建立简单健康检查函数：检测 socket 是否可连、docker ps 是否超时、关键容器（如监控 agent）是否仍在运行
常见异常如 cannot connect to the Docker daemon，多数因 XDG_RUNTIME_DIR 会话过期或 daemon 进程崩溃。脚本可自动触发重启逻辑，并发送通知（如写入 $HOME/health-alert.log 或调用 webhook）
升级 rootless docker 时，需先停服务、替换二进制（$HOME/bin/dockerd-rootless.sh）、重载 systemd 用户 unit（systemctl --user daemon-reload），再启动——这些步骤必须原子化封装，避免半升级状态