连接 Docker 时报 permission denied：完整排查清单

排查清单（按命中率排序）：①groups 命令确认当前用户在 docker 组，不在就 sudo usermod -aG docker $USER；②加组后必须重新登录**（newgrp docker 只对当前终端生效）；③曾用 sudo 跑 docker 导致 ~/.docker 属主是 root → chown 回来；④CentOS/RHEL 上检查 SELinux；⑤共享机器考虑 rootless 模式。**

① 组成员资格（最常见）

groups $USER | grep docker || sudo usermod -aG docker $USER

socket 文件 srw-rw---- root docker /var/run/docker.sock——组外用户连读写资格都没有。

② 会话刷新

加组后当前已登录的会话不会自动获得新组：

newgrp docker     # 当前终端立即生效
# 彻底方案：注销重登（GUI 会话尤其需要）

③ ~/.docker 属主污染

之前用 sudo docker 留下 root 属主的配置目录：

ls -la ~/.docker
sudo chown -R $USER:$USER ~/.docker

症状是加组后仍报 ~/.docker/config.json permission denied。

④ SELinux（RHEL/CentOS/Fedora）

访问被拒但权限都对时：

getenforce                          # Enforcing 时重点怀疑
sudo ausearch -m avc -ts recent     # 看最近的拒绝记录

挂载卷被拒时给挂载加 :z（共享）或 :Z（独占）后缀。

⑤ 容器内场景

容器里挂了 docker.sock 仍被拒：容器内用户同样需要在 docker 组，或容器以 root 运行（--user root）。

⑥ 想彻底绕开：rootless Docker

dockerd-rootless-setuptool.sh install

普通用户跑自己的守护进程，不依赖 docker 组，安全边界更好；适合多用户共享机器。

观测云对照

权限治理与可观测并行。 docker 组=准 root，成员变更值得审计；观测云对主机安全相关日志（auth 日志、sudo 记录）的采集让权限变更可追溯。

常见问题（FAQ）

Q：加组重登后 CI 里还是失败？
A：CI runner 是服务进程，不经过登录流程，重启 runner 服务让它重新载组。

Q：chmod 666 docker.sock 一劳永逸行不行？
A：技术上能通，安全上等于把 root 送给所有用户，生产环境严禁。

Q：报错里 socket 路径不是 /var/run/docker.sock？
A：检查 DOCKER_HOST 与 docker context，你可能在连另一台主机。