本机优先使用 Unix Socket#

默认 Docker CLI 通过 /var/run/docker.sock 与本机守护进程通信：

1
docker version
2
docker info

普通用户无法访问时，可以临时使用 sudo：

1
sudo docker version

也可以把受信任用户加入 docker 组，但需要明确：该组成员通常能够获得宿主机 root 级能力。

1
sudo usermod -aG docker "$USER"

重新登录后生效。生产服务器不应为了方便把大量账号加入该组。

推荐：通过 SSH 使用 Docker Context#

Docker Context 可以复用 SSH 的密钥、主机校验和账号权限，无需额外暴露 Docker TCP 端口。

1
docker context create production \
2
  --docker "host=ssh://deploy@example.com"
3

4
docker --context production version
5
docker --context production ps

切回本机：

1
docker context use default

SSH 侧应继续采用常规安全措施：

• 禁止密码登录或限制为跳板机访问；
• 使用独立部署账号；
• 校验 known_hosts，不要长期关闭主机指纹检查；
• 限制账号能访问的 Docker 主机与网络范围；
• 定期轮换密钥并移除离职或失效账号。

危险反例：未认证的 2375#

1
危险：tcp://0.0.0.0:2375 没有传输加密和客户端认证，等同于把宿主机 root 级控制权交给能访问该端口的人。

即使端口暂时只在内网可见，也可能被同网段主机、错误路由、容器网络或后续防火墙变更访问。不要把“内网”当作认证机制。

必须使用 TCP 时启用双向 TLS#

TCP 场景应使用 2376、服务端证书和客户端证书。证书至少需要：

• 独立 CA；
• 服务端证书包含正确的 DNS 名称或 IP SAN；
• 客户端证书具有客户端用途；
• 私钥权限严格限制；
• 防火墙只允许固定管理网段；
• 明确的到期时间与轮换流程。

一种 systemd drop-in 配置示例：

1
[Service]
2
ExecStart=
3
ExecStart=/usr/bin/dockerd \
4
  -H unix:///var/run/docker.sock \
5
  -H tcp://0.0.0.0:2376 \
6
  --tlsverify \
7
  --tlscacert=/etc/docker/tls/ca.pem \
8
  --tlscert=/etc/docker/tls/server-cert.pem \
9
  --tlskey=/etc/docker/tls/server-key.pem

应用前先检查配置目录、证书和备份终端：

1
sudo systemctl daemon-reload
2
sudo systemctl restart docker
3
sudo systemctl status docker --no-pager
4
sudo ss -lntp | grep 2376

客户端使用环境变量或 Docker Context，避免在每条命令重复证书路径：

1
export DOCKER_HOST='tcp://docker.example.com:2376'
2
export DOCKER_TLS_VERIFY='1'
3
export DOCKER_CERT_PATH="$HOME/.docker/production-tls"
4

5
docker version

WARNING

修改 Docker 的 systemd ExecStart 有使守护进程无法启动的风险。操作前保留当前 SSH 会话、备份配置，并准备通过控制台回滚。

Python SDK#

本机或已经配置好 Docker 环境变量时，优先让 SDK 读取标准配置：

1
import docker
2

3
client = docker.from_env()
4
print(client.version()["Version"])

不要在源码中写固定的远程地址、证书私钥或仓库密码。应用需要远程管理 Docker 时，应通过受控服务账号、最小网络范围和审计日志限制风险。

验证与审计#

1
# 确认监听地址
2
sudo ss -lntp | grep dockerd
3

4
# 查看最近的守护进程日志
5
sudo journalctl -u docker --since today --no-pager
6

7
# 查看 Context 配置
8
docker context ls
9
docker context inspect production

建议定期检查：

1. 是否仍有 2375 监听；
2. 防火墙规则是否超出预期；
3. 客户端证书是否即将过期；
4. SSH 密钥和服务账号是否仍然有效；
5. 自动化系统是否记录了高风险操作。

选择建议#

本文根据早期个人笔记重新整理，并结合当前通用实践进行了校对。