将用户添加到 Docker 组：数据专业人士指南

是否总要在每条 Docker 命令前都敲一遍 sudo？这篇文章就是为您准备的。

默认情况下，Docker 会限制对其守护进程的访问，只有 root 和 docker 组成员才能运行命令。这样能让系统更安全，但当您整天与容器打交道时就显得很烦。docker 组正是为此而存在——为了 让您在不被 sudo 密码拖慢的情况下使用 Docker。

当您把自己加入 docker 组后，很快就能感受到不同。您可以在没有权限错误或密码提示的情况下运行 docker build、docker run 等命令。

在本文中，您将了解如何在不同系统上将用户添加到 docker 组、需要留意的安全风险，以及如何在提升 Docker 易用性的同时保护您的系统。

> LLM 在 2025 年备受关注。按照这份分步指南，用 Docker 部署 LLM 应用。

理解 Docker 组

当您开始使用 Docker 时，如果没有正确设置，很快就会遇到权限问题。 

下面我们来拆解一下 docker 组究竟是什么，以及它为何对您的工作流很重要。

定义与功能

docker 组是一个系统用户组，为成员提供在无需 sudo 权限的情况下使用 Docker 守护进程的许可。 

在 Linux 系统上安装 Docker 时，该用户组通常会自动创建。Docker 的套接字文件（/var/run/docker.sock）由 root 拥有，但其组权限设为 docker 组，这就是访问控制的实现方式。

属于该组的用户可以在不加 sudo 前缀的情况下构建镜像、运行容器、管理网络以及执行其他 Docker 操作。这意味着更少的输入、没有密码提示。当您未加入该组就尝试运行 Docker 命令时，会收到“权限被拒绝”的错误，最终拖慢您的进度。

组成员资格的安全影响

将用户添加到 docker 组带来实实在在的安全风险，您不应忽视。 

docker 组成员可以在宿主系统上获取 root 权限。这是因为 Docker 允许您将宿主目录挂载到容器中，包括敏感的系统目录。具有 Docker 访问权限的用户可以创建一个挂载整个根文件系统的容器，并修改宿主上的任意文件。

容器越狱漏洞 也是一项风险，因为它可能允许攻击者逃逸容器隔离。 

您应只将受信任的用户添加到 docker 组，即便如此，也应将其视作等同于授予 root 访问权限。许多安全专家建议，将 docker 组成员资格仅限于日常工作绝对需要的用户。

分步实施

既然您已经理解了 docker 组及其影响，接下来就实际动手进行设置吧。

创建 docker 组

在大多数情况下，您无需手动创建 docker 组，因为它会在安装 Docker 时自动创建。您可以通过运行以下命令检查该组是否存在：

grep docker /etc/group

图片 1 - 检查 docker 组是否存在

如果由于某些原因该组不存在（就像我的情况），您可以使用以下命令创建它（仅限 Linux）：

sudo groupadd docker

该命令会在您的系统上创建 docker 组，但仅适用于 Linux 操作系统。 

对于 macOS，您可以参考 Apple 官方说明，因为该组通过图形界面创建。Windows 操作系统的流程也类似。

完成上述步骤后，您应能看到该组已创建：

图片 2 - 再次检查 docker 组是否存在

将用户添加到该组

要将当前用户添加到 docker 组，请在 Linux 操作系统上运行以下命令：

sudo usermod -aG docker $USER

其中，-a 标志表示“追加”，-G 指定要将用户添加到的用户组。$USER 变量会自动使用您的当前用户名。

在 macOS 和 Windows 上，您可以通过系统设置或控制面板添加用户到组——只需切换开关即可添加您希望的所有用户：

图片 3 - 将用户添加到组

将自己添加到该组后，您必须注销并重新登录以使更改生效。当前会话在您完全注销前不会识别新的组成员资格。对于某些系统，您可能需要重启：

sudo reboot

要验证您的用户现在是否属于 docker 组，请运行：

groups

您应能在用户所属的组列表中看到“docker”：

图片 4 - 查看用户组

常见问题排查

如果在将自己添加到该组后仍出现“权限被拒绝”错误，您可能需要修复 Docker 套接字的权限：

sudo chown root:docker /var/run/docker.sock
sudo chmod 660 /var/run/docker.sock

另一种常见情况是 Docker 服务重启后，套接字权限被重置。如果在您更改组后才启动 Docker，尝试重启 Docker 服务：

sudo systemctl restart docker

对于持续的权限问题，请检查您的 Docker 服务配置是否正确。在某些系统上，Docker 可能配置为使用不同的组名或套接字位置。您可以检查位于 /etc/docker/daemon.json 的 Docker 守护进程配置文件，或 /lib/systemd/system/docker.service 中的服务文件。

请记住，您所做的任何权限更改，只有在注销并重新登录后才会应用到当前登录会话。这是“我已经更改了，但还是不生效”的首要原因。

安全考量与缓解措施

将用户添加到 docker 组可能带来安全风险，您需要了解这些风险。我们来看看这些风险以及如何保护您的系统。

docker 组成员资格的风险

docker 组成员资格在实际效果上等同于拥有系统的 root 访问权限。这不是夸张——而是 Docker 工作方式的现实。

当您属于 docker 组时，可以运行挂载宿主文件系统敏感部分的容器。例如，下面这个简单命令就能让您完全有权修改宿主上的任意文件：

docker run -it --rm -v /:/hostroot alpine chroot /hostroot

您还可以更改 Docker 守护进程设置、创建特权容器，或使用宿主网络模式来绕过网络隔离。这些能力让恶意用户（或具有 Docker 访问权限的受控应用）能够完全接管您的宿主系统。

还有其他几项您必须了解的潜在风险：

• 运行可直接访问硬件设备的容器。
• 绑定低编号网络端口。
• 使用自定义 seccomp 配置文件启动容器以禁用安全控制。
• 创建使用宿主进程命名空间的容器。

这些每一项都可能被滥用来提升权限或破坏系统运行。

降低风险的最佳实践

为降低这些风险，请遵循最小权限原则——仅向绝对需要的用户授予 docker 组成员资格。若多人需要使用共享系统，考虑为 Docker 操作单独创建一个用户账户。

Docker 的无 root 模式（rootless）是比 docker 组更安全的替代方案。无 root 模式允许您以非 root 用户运行 Docker 守护进程和容器，而无需加入任何特殊的用户组：

# Install Docker in rootless mode
dockerd-rootless-setuptool.sh install

# Start the rootless Docker daemon
systemctl --user start docker

用户命名空间通过将容器 UID 映射到宿主上的不同区间，提供了另一层安全性。这意味着即使容器以 root（UID 0）运行，该进程在宿主上也会映射为非特权用户：

# Add to /etc/docker/daemon.json
{
  "userns-remap": "default"
}

考虑为容器用户使用静态 UID/GID 分配，以保持一致的身份映射。在 Dockerfile 中，使用预设 ID 创建特定用户：

# Create a user with a static UID/GID
RUN groupadd -g 10001 appgroup && \
    useradd -u 10000 -g appgroup -s /bin/bash appuser

# Switch to that user
USER appuser

定期使用如下命令审计谁拥有 docker 组成员资格：

getent group docker

并移除不再需要访问权限的用户：

sudo gpasswd -d username docker

综合使用这些方法，您和您的团队既能享受 docker 组带来的便利，又能尽量降低其引入的安全风险。

高级配置与替代方案

如果您希望采用不同于标准组成员资格的方法来管理 Docker 访问，也有多种选择。我们来探讨一些更高级的配置与替代方案，或许更契合您的安全要求。

Dockerfile 的安全加固

您可以在 Dockerfile 中直接构建安全措施，即便用户拥有 docker 组访问权限，也能降低风险。

在下面的示例中，我将使用多阶段构建，让您的 Python 镜像更小、攻击面更少。 

如需跟进，请创建以下文件：

app.py：

from flask import Flask, jsonify

app = Flask(__name__)


@app.route("/api/health")
def health():
    return jsonify({"status": "healthy"})


if __name__ == "__main__":
    app.run(host="0.0.0.0", port=8000, debug=True)

requirements.txt：

flask==3.1.0

Dockerfile：

FROM python:3.13-slim AS builder
WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

FROM python:3.13-slim
WORKDIR /app
COPY --from=builder /usr/local/lib/python3.13/site-packages /usr/local/lib/python3.13/site-packages
COPY . .
RUN useradd -r -u 1000 -g users appuser
USER appuser
CMD ["python", "app.py"]

简而言之，这个 Dockerfile 使用了非 root 用户的 USER 指令，并从前一阶段复制了相关内容（Python 包）。

> 如果您刚接触应用容器化，不必担心——我们的完整指南将全程护航。

您可以使用以下命令构建并运行该容器：

# Build the image
docker build -t my-python-app .

# Run the container
docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE my-python-app

图片 5 - 以最小权限运行容器

新增的 --cap-drop=ALL 命令会从容器中移除所有 Linux 能力（限制权限），而 --cap-add=NET_BIND_SERVICE 则添加回 NET_BIND_SERVICE 能力，使容器可以绑定到低编号端口。

这些技术限制了容器能做的事情，即使有人拥有 docker 组访问权限试图滥用它。

将 sudo 作为替代方案

如果您不想将用户添加到 docker 组，使用 sudo 是一个可行替代。这种方式能提供更好的控制与 Docker 命令的审计记录。

您可以创建自定义 sudoers 条目，允许特定用户在无需密码的情况下仅运行 Docker 命令：

# Add to /etc/sudoers.d/docker
username ALL=(root) NOPASSWD: /usr/bin/docker

为提升可用性，可在您的 .bashrc 或 .zshrc 文件中创建别名：

alias docker='sudo docker'
alias docker-compose='sudo docker-compose'

这种 sudo 方式在以下方面更安全：

• 所有 Docker 命令都会记录到系统日志。
• 您可以限制允许的 Docker 子命令。
• 用户无法修改 Docker 守护进程配置。

缺点是需要多敲几个字母，而且可能与某些期望直接访问 Docker 的工具产生兼容性问题。

Windows 的注意事项

Windows 对 Docker 权限的处理方式不同于 Linux。Windows 不使用 docker 组，而是使用 docker-users 组。

在 Windows 上将用户添加到 docker-users 组的步骤如下：

1. 打开“计算机管理”（右键单击“开始”，选择“计算机管理”）。
2. 依次进入 系统工具 > 本地用户和组 > 组。
3. 双击“docker-users”。
4. 点击“添加”，输入用户名。
5. 点击“确定”，并关闭“计算机管理”。

图片 6 - Windows 上的用户组

另外，您也可以在具有管理员权限的 PowerShell 中使用：

Add-LocalGroupMember -Group "docker-users" -Member "username"

添加用户后，同样需要注销并重新登录才能使更改生效，这一点与 Linux 一样。

同样值得注意的是，Windows 还提供附加的安全功能，如 Windows Defender 应用程序控制和不适用于 Linux 的 Hyper-V 隔离模式。对于 Windows 上的高安全环境，您可以使用这些功能在容器与宿主之间建立更强的边界。

> 数据专业人士在 2025 年离不开 Docker，本指南将带您上手。

总结：Docker 用户组

现在，您已经全面了解如何将用户添加到 docker 组，以及这为何重要。让我们回顾一下重点。

将用户添加到 docker 组可以免去使用 sudo 命令，从而大大简化容器工作。过程很简单：检查该组是否存在，使用 usermod -aG docker $USER 添加用户，然后注销并重新登录。如果遇到问题，请检查套接字权限并重启 Docker。

但别忘了，授予某人 docker 组访问权限几乎等同于把 root 密码交给他们。任何在该组中的人，都可以通过容器挂载整个文件系统、安装软件、甚至修改系统文件。因此，务必要谨慎选择谁能获得该访问权限。

那么，您的环境应该怎么做？

一般来说，对于在自己机器上工作的开发者，加入 docker 组问题不大。对于共享服务器或生产环境，请考虑 rootless 模式、用户命名空间，或使用受限命令的 sudo 等替代方案。无论采用哪种方式，请始终在 Dockerfile 中遵循安全最佳实践，使用非 root 用户并移除不必要的能力。

通过定期审计来关注谁拥有 docker 组访问权限。人员会变更角色、离开团队，或者随着时间推移不再需要某些权限。使用 getent group docker 快速检查，可帮助您发现不应再保留的用户。

如果您想进一步了解 Docker 与容器化，以下 DataCamp 课程是您的最佳下一站：

• Introduction to Docker
• Intermediate Docker
• Containerization and Virtualization Concepts
• Introduction to Kubernetes
• CI/CD for Machine Learning