普通用户需加入docker组并重启会话才能免sudo运行docker命令，或选用更安全的rootless模式；核心步骤包括确认docker组存在、执行sudo usermod -ag docker $user、重新登录，或配置rootless模式实现用户空间隔离。
安装完 docker engine 后，普通用户默认无法直接运行 docker 命令，因为守护进程通过 /var/run/docker.sock 通信，该文件属主为 root:docker，权限是 srw-rw----。只要当前用户属于 docker 组，就能获得读写权限，从而免 sudo 执行命令。
确认并加入 docker 用户组
大多数发行版（Ubuntu、Debian、CentOS、Fedora 等）在安装 Docker 官方包时会自动创建 docker 组。你可以先检查是否存在：
- 运行
grep docker /etc/group，若输出类似docker:x:999:，说明组已存在 - 若无输出，手动创建：
sudo groupadd docker - 将当前用户加入该组：
sudo usermod -aG docker $USER
使组权限立即生效
组成员关系不会自动刷新到当前会话，需重新加载：
- 最稳妥方式：关闭所有终端，重新登录系统
- 快速验证可用：
newgrp docker（仅对当前终端生效） - 也可用
su - $USER模拟全新登录环境
验证与常见问题排查
执行以下命令确认是否成功：
-
docker run hello-world—— 不报permission denied即成功 -
groups或id -nG—— 输出中应包含docker -
ls -l /var/run/docker.sock—— 应显示srw-rw---- 1 root docker
若仍失败，可能原因包括：
socket 文件权限异常（可临时修复：sudo chown root:docker /var/run/docker.sock && sudo chmod 660 /var/run/docker.sock）；
Docker 服务未重载组信息（执行 sudo systemctl restart docker）。
更安全的替代方案：Rootless 模式
如果你担心 docker 组等同于高权限风险（如容器可挂载宿主机路径、逃逸提权），推荐启用 Rootless 模式：
- 前提：Linux 内核 ≥ 4.18，已安装
uidmap（如 Ubuntu 上：sudo apt install uidmap） - 卸载系统级 Docker（可选），然后运行：
curl -fsSL https://get.docker.com/rootless | sh - 按提示设置
PATH（如export PATH=$HOME/bin:$PATH），再启动：systemctl --user start docker - 此时所有
docker命令完全无需sudo，且隔离在用户空间，不依赖系统守护进程
