/var/run/docker.sock是默认的Unix套接字。套接字用于在同一主机上的进程之间进行通信。Docker守护程序默认情况下侦听docker.sock。如果您在运行Docker守护程序的主机上，则可以使用/ var/run/docker.sock管理容器。
Docker-in-Docker的主要目的是帮助开发Docker本身。许多人使用它来运行CI（例如使用Jenkins），这看起来很好，但它们会遇到许多“有趣”的问题，可以通过将Docker套接字绑定到Jenkins容器来避免。
本文是关于容器安全的文章，展示了 10 种强化 Docker 基础架构并保护容器和数据免受恶意攻击的方法。
Docker客户端通常通过Unix套接字在本地与守护程序通信 /var/run/docker.sock，或通过网络通过TCP套接字。 以下是启动时提供给Docker守护程序的选项的典型示例：
Docker技术目前在DevOps中被广泛使用，我们需要将测试或者构建的代码和自动化脚本打包成Docker镜像，然后部署在各运行环境中。
CI：持续集成(Continuous integration，简称 CI)，在传统的软件开发环境中，有集成，但是没有持续集成这种说法，长时间的分支与主干脱离，导致分支与主干可能存在较大偏差，在集成代码的时候可能需要花费数小时更久的时间来修复代码，以便最终将代码集成主干(俗称"集成地狱"或"集成灾难")；而CI旨在鼓励团队成员进行频繁集成（例如每小时或至少每天一次）来避免这种情况的出现，通过自动检测、拉取、构建和（在大多数情况下）进行单元测试的过程，来保障代码的质量可以进行下一步的使用，这也是持续集成的目的，CI是属于开发人员的自动化流程。
@toc 前言 作者主页：https://blog.csdn.net/qq_48450494?type=blog 个人博客：http://ygcloud.work/ Jenkins 是一个持续集成工具
jinkens 之前是我使用docker部署的，因为要推送到私有库，需要改下配置，重启docker。重启之后所有的镜像没有了，容器也没有了，诡异。
Jenkins，之前叫做Hudson，由SUN公司启动，2010年oracle收购SUN导致hudson商标归oracle保留，hudson的主要贡献者基于hudson更名为jenkins并持续更新。很长一段时间内lenkins和Hudson继续作为两个独立的项目，每个都认为对方是自己的分支。目前Hudson已经停止开发，最新的版本发布于2016年，而Jenkins的社区和开发却异常活跃。Jenkins是目前市场上使用最多的CICD工具。
Hi，大家好。Jenkins主要用于持续构建项目，监控一些定时执行的任务。今天开始给大家介绍Jenkins从入门到放弃。宝，你学废了吗？在玩Jenkins的小伙伴欢迎文末留言喔。
在实际生产中，如果进行手动发布镜像到 Harbor，那么实在太 low 了。实际中，一般会结合 Jenkins 的流水线，进行自动构建和发布。
随着 Docker 的兴起，越来越多的项目采用 Docker 搭建生产环境，因为容器足够轻量化，可以快速启动并且迁移业务服务，不过在使用的过程中，我们很容易就忽略了项目的安全问题，容器虽然有隔离的作用，但是我们知道，他与虚拟机的架构差距还是比较大的。
导读 deepin基于debian docker官网教程：https://docs.docker.com/engine/install/debian/ Portainer基于Docker Swarm，Rancher基于Kubernetes 安装Docker 更新apt sudo apt-get update 查找安装包 apt search docker-ce 安装 sudo apt-get install docker-ce docker-ce-cli containerd.io 测试 sudo d
对于初学docker的小白，一款好的可视化工具有助于快速掌握docker基本形态和概念，下面针对docker可视化工具做些总结
Docker为C/S架构，服务端为docker daemon (daemon是守护进程的意思，进程名叫dockerd)，客户端为docker.service。 docker daemon 支持三种方式的连接(unix，tcp 和 fd)。默认使用unix连接，会创建/var/run/docker.sock 需要root权限和是docker权限的成员。
Docker 图形化管理提供了很多工具，有Portainer、Docker UI、Shipyard等等，本文主要介绍Portainer。
Pod中的，runAsUser 能指定 Pod 中的所有容器内的进程都使用用户 ID runAsUser 来运行。而如果容器中也设置了runAsUser则以容器中设置的优先，服务启动将以runAsUser设置的用户ID运行。 runAsGroup
我们发现用 root 权限就可以使用 docker 相关命令，那我们想在普通用户下使用 docker 相关命令，这该怎么办呢？
适合的读者，对Docker有过简单了解的朋友，想要进一步了解Docker容器的朋友。
由于传播、利用本公众号亿人安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号亿人安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！
AppArmor 主要的作用是设置某个可执行程序的访问控制权限，可以限制程序 读/写某个目录/文件，打开/读/写网络端口等等。
Docker是当今使用范围最广的开源容器技术之一，具有高效易用的优点。然而如果使用Docker时采取不当安全策略，则可能导致系统面临安全威胁。
默认情况下，Docker守护进程会生成一个 /var/run/docker.sock 文件来进行本地进程通信，而不会监听任何端口，所以默认情况下 Docker 只能在本地使用命令行操作。 如果要在其它机器上远程操作 Docker 主机，就需要让 Docker 监听一个端口，这样才能实现远程通信。 在我的 CentOS 7X 上，首先修改 Docker 配置文件 /etc/sysconfig/docker 中的 OPTIONS 参数，添加 -H unix:///var/run/docker.sock -H 0
Docker 提供了命令行工具来管理 Docker 的镜像和运行 Docker 的容器。我们也可以使用图形工具来管理 Docker。目前，主流的 Docker 图形工具有 Docker Ul、Portainer 和 Shipyard。
【前置条件：需准备一台Linux or Mac OS 机器, 并且安装好了Docker 应用，因为是要监控与管理Docker，所以你得有Docker 运行环境，本示例以管理和监控K8s 集群中的Node 节点来分享（当然你也可以监控和管理你本地运行的docker）】
需准备一台Linux 或 Mac OS 机器, 并且已安装好 Docker 应用，因为是要监控与管理Docker，所以你得有 Docker 运行环境。
Docker实现原理：https://zone.huoxian.cn/d/1034-docker
Jenkins 是一个开源的、可扩展的持续集成、交付、部署（软件/代码的编译、打包、部署）的基于web界面的平台。允许持续集成和持续交付项目，无论用的是什么平台，可以处理任何类型的构建或持续集成。Jenkins 支持各种运行方式，可通过系统包、Docker 或者通过一个独立的 Java 程序。
使用Portainer管理多台服务器的docker 下载Portainer镜像(选择多台中的某一台作为管理端master) #不指定版本，默认最新latest docker pull portainer/portainer 运行Portainer #启动Portainer docker run -dit -p 9000:9000 -v /root/portainer:/data -v /var/run/docker.sock:/var/run/docker.sock --name portainer por
Docker Plugin 是 Docker 社区提供的一种扩展机制，可以通过插件来增强 Docker 引擎的功能。Docker Plugin 可以让我们快速、轻松地扩展 Docker 引擎的功能，将其变得更加灵活和可定制化。
Watchtower 会监视运行容器并监视这些容器最初启动时的镜像是否需要更新。当 watchtower 检测到一个镜像已经有变动时，它会使用新镜像，使用相同的参数自动重新启动相应的容器。同时 watchtower 本身也被打包为 Docker 镜像，用一行命令即可使用 watchtower 监控所有容器，然后所有容器都会自动更新，当然也包括 watchtower 本身。
参考: - 无法连接到Jenkins - 灰信网（软件开发博客聚合） - Docker 快速安装Jenkins完美教程 （亲测采坑后详细步骤） - 付宗乐 - 博客园 - docker安装jenkins---完美解决jenkins插件安装失败问题_沉淀技术这十年的博客-CSDN博客_jenkins插件安装失败 - Docker 安装 Jenkins 并解决初始安装插件失败问题_docker_脚本之家 - jenkins 下載外掛失敗 有效的處理辦法（親測）_osc_7z601p6x - MdEditor
看到一篇关于 Kubectl 运行的机制，觉得写得非常不错，图文并茂很形象，就翻译成了中文记录一下，原文地址:
本文翻译自Daniel J Walsh的一篇开源文章：http://opensource.com/business/14/10/docker-user-rights-fedora
Docker图形页面管理工具常用的，DockerUI，Portainer，Shipyard。DockerUI是Portainer的前身，这三个工具通过docker api来获取管理的资源信息。平时我们常常对着shell对着这些命令行客户端，，审美会很疲劳，如果有漂亮的图形化界面可以直观查看docker资源信息，也是非常方便的。今天我们就搭建单机版的某些常用图形页面管理工具。这几种图形化管理工具以Portainer最为受欢迎。
docker 图形页面管理工具常用的有三种，DockerUI ，Portainer ，Shipyard 。DockerUI 是 Portainer 的前身，这三个工具通过docker api来获取管理的资源信息。
docker 图形页面管理工具常用的有三种，DockerUI ，Portainer ，Shipyard 。DockerUI 是 Portainer 的前身，这三个工具通过docker api来获取管理的资源信息。平时我们常常对着shell对着这些命令行客户端，审美会很疲劳，如果有漂亮的图形化界面可以直观查看docker资源信息，也是非常方便的。今天我们就搭建单机版的三种常用图形页面管理工具。这三种图形化管理工具以Portainer最为受欢迎。
当获得一个Webshell，我们的攻击点可能处于服务器的一个虚拟目录里，一台虚拟机或是一台物理机，甚至是在一个Docker容器里。
在 CI 中，通常会有一个 CI Engine 负责解析流程，控制整个构建过程，而将真正的构建交给 Agent 去完成。例如，Jenkins 、GitLab 均是如此。
前面我们有文章介绍过如何在 Kubernetes 集群中使用 GitLab CI 来实现 CI/CD，在构建镜像的环节我们基本上都是使用的 Docker On Docker 的模式，这是因为 Kubernetes 集群使用的是 Docker 这种容器运行时，所以我们可以将宿主机的 docker.sock 文件挂载到容器中构建镜像，而最近我们在使用 Kubernetes 1.22.X 版本后将容器运行时更改为了 Containerd，这样节点上没有可用的 Docker 服务了，这个时候就需要更改构建镜像的模式了，当然要实现构建镜像的方式有很多，我们这里还是选择使用 Docker 来构建我们的 Docker 镜像，也就是使用 Docker IN Docker 的模式。
$ sudo dockerd -H tcp://0.0.0.0:2375 -H unix:///var/run/docker.sock &
执行这个命令后，脚本就会自动的将一切准备工作做好，并且把Docker CE 的Edge版本安装在系统中。
在/usr/lib/systemd/system/docker.service，配置远程访问。
Cnitch，又名Snitch或Container Snitch，它是一款针对Docker引擎的运行进程权限检测工具。Cnitch本质上来说是一个简单的框架和命令行工具，该工具可以帮助研究人员监控Docker容器内的运行进程，如果有进程是以root权限的话，研究人员将第一时间收到Cnitch的通知。
Jenkins是一款开源 CI&CD 软件，用于自动化各种任务，包括构建、测试和部署软件。 Jenkins 支持各种运行方式，可通过系统包、Docker 或者通过一个独立的 Java 程序。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
