Actions Runner Controller中Docker in Docker模式权限问题解析

问题背景

在使用Actions Runner Controller（ARC）部署自托管GitHub Actions运行器时，许多开发者会遇到Docker in Docker（DinD）模式的权限问题。具体表现为当工作流任务尝试连接Docker守护进程时，会出现"dial unix /run/docker/docker.sock: connect: permission denied"的错误。

问题现象

用户在使用ARC 0.9.2版本部署在Amazon EKS v1.29环境时，配置了DinD模式的运行器。当运行包含容器化作业的GitHub Actions工作流时，系统报告无法连接到Docker守护进程，错误信息明确指出对Unix域套接字的连接权限被拒绝。

根本原因分析

经过深入排查，发现问题的根本原因在于Docker套接字路径配置错误。在配置文件中，用户将Docker套接字路径错误地指定为：

/run/docker/docker.sock

而实际上，标准的Docker套接字路径应该是：

/var/run/docker.sock

解决方案

要解决此问题，需要修改Runner Scale Set的配置模板，确保以下几点：

1. 将DOCKER_HOST环境变量值修正为正确的套接字路径：

env:
- name: DOCKER_HOST
  value: "unix:///var/run/docker.sock"

2. 确保dind容器的启动参数也使用正确的路径：

args:
- "dockerd"
- "--host=unix:///var/run/docker.sock"
- "--group=$(DOCKER_GROUP_GID)"

3. 验证volume挂载点是否一致：

volumeMounts:
- mountPath: "/var/run"
  name: "dind-sock"

最佳实践建议

1. 路径一致性检查：在配置DinD模式时，确保所有涉及Docker套接字路径的配置项都使用相同的标准路径。

2. 权限设置：虽然本例中主要是路径问题，但也要注意Docker组的GID设置（如示例中的123）是否与实际环境匹配。

3. 资源监控：如用户日志中出现的OOM（内存不足）警告所示，应为运行器配置足够的资源，特别是当运行内存密集型构建任务时。

4. 安全考虑：使用DinD模式时，privileged权限是必须的，但应确保只在必要的容器上启用此权限。

总结

ARC的DinD模式为GitHub Actions提供了强大的容器化构建能力，但正确的配置是关键。路径配置错误是常见问题之一，开发者应仔细检查所有相关配置项的一致性。通过遵循标准路径配置和上述最佳实践，可以确保DinD模式正常工作，为CI/CD流程提供可靠的容器化构建环境。