如何解决 Docker 的 permission denied 权限问题？

若已确认使用本机 rootful Docker socket，且确为用户组权限不足，可按以下步骤处理：创建 docker 组（sudo groupadd docker）→ 把用户加进去（sudo usermod -aG docker $USER）→ 重新登录或 newgrp docker 生效，之后 docker 命令免 sudo。

完整步骤

# 1. 创建 docker 组（一般安装时已自动创建，存在会提示已存在，忽略即可）
sudo groupadd docker

# 2. 把当前用户加入组
sudo usermod -aG docker $USER

# 3. 让组变更在当前会话生效（或注销重登）
newgrp docker

# 4. 先验证API连接
docker info
# 再测试拉取与运行（还依赖仓库网络等）
docker run hello-world

能正常拉取运行 hello-world 即修复完成。

为什么这样能解决

常见 rootful 安装的 /var/run/docker.sock 是 root:docker、权限 660，但应检查实际端点和数字 UID/GID，rootless 或其他 context 不同。匹配实际组权限时可访问 socket；还需考虑 ACL、安全策略和所用 context。

其他几种"权限拒绝"要区分

1. 挂载目录读写被拒：应按实际 UID/GID、mode 和 ACL 排查；属主不同并不必然拒绝访问，可按所需权限调整。
2. 构建时 COPY 权限错：构建上下文文件权限过严，调整源文件权限。
3. SELinux 环境（CentOS/RHEL）：核对 SELinux 拒绝记录；:z 用于共享标签，:Z 用于私有标签，会修改宿主机目录标签，不能随意用于系统目录。
4. docker.sock 被挂载进容器后容器内访问被拒：需匹配 socket 实际数字 GID 及访问权限，容器内仅创建同名 docker 组不保证有效；SELinux 或隔离策略也可能限制访问。

安全提醒

docker 组 ≈ root 权限：能通过挂载宿主机根目录拿到任意文件。只把可信用户加入 docker 组；共享服务器上考虑 rootless Docker 或 Podman。

常见问题（FAQ）

Q：newgrp 之后还是不行？
A：彻底注销重新登录；桌面环境（GUI 终端）尤其需要重登，systemd 用户会话的组信息在登录时固化。

Q：脚本报错但交互终端正常？
A：cron/systemd unit 里的环境没有重新加载组信息，核对服务运行用户及补充组（必要时用 SupplementaryGroups），重启相关服务使新凭据生效；不要把所有失败都归结为环境变量。

Q：不想加组，有别的办法吗？
A：可以每次 sudo docker；或配置 rootless 模式的 Docker，普通用户独立运行自己的守护进程。