Por que o usuário Jenkins pode não ter permissão para acessar o soquete Docker unix?

9

Adicionei o jenkinsusuário ao dockergrupo pensando que permitiria que os trabalhos de Jenkins executassem comandos do Docker. Se eu mudar para o jenkinsusuário, posso verificar se funciona (manualmente):

ubuntu@hostname:~$ ps aux | grep java
jenkins   2210  9.5  7.5 1950316 292896 ?      Sl   00:01   1:00 /usr/bin/java -jar /data/jenkins/jenkins-1.586.war --httpPort=8080 -Xloggc:/var/log/jenkins/gc.log
ubuntu@hostname:~$ getent group docker
docker:x:999:jenkins
ubuntu@hostname:~$ ls -la /var/run/docker.*
-rw-r--r-- 1 root root   4 Oct 23 18:32 /var/run/docker.pid
srw-rw---- 1 root docker 0 Oct 23 18:32 /var/run/docker.sock
ubuntu@hostname:~$ sudo su -s /bin/bash jenkins
jenkins@hostname:/home/ubuntu$ docker ps
CONTAINER ID        IMAGE                      COMMAND                CREATED             STATUS              PORTS                     NAMES

No entanto, durante uma construção / trabalho do Jenkins, ele não tem permissão:

# Job log
Started by user Matt Wright
Building on master in workspace /data/jenkins/jobs/docker-base-images-build/workspace
[ssh-agent] Using credentials CI-jenkins
[ssh-agent] Looking for ssh-agent implementation...
[ssh-agent]   Java/JNR ssh-agent
[ssh-agent] Started.
 > git rev-parse --is-inside-work-tree # timeout=10
Fetching changes from the remote Git repository
 > git config remote.origin.url [email protected]:<redacted>/docker-base-images.git # timeout=10
Fetching upstream changes from [email protected]:<redacted>/docker-base-images.git
 > git --version # timeout=10
using GIT_SSH to set credentials 
 > git fetch --tags --progress [email protected]:<redacted>/docker-base-images.git +refs/heads/*:refs/remotes/origin/*
 > git rev-parse refs/remotes/origin/master^{commit} # timeout=10
 > git rev-parse refs/remotes/origin/origin/master^{commit} # timeout=10
Checking out Revision 83c4463e7195b412a3a803dd7338210c1a772f55 (refs/remotes/origin/master)
 > git config core.sparsecheckout # timeout=10
 > git checkout -f 83c4463e7195b412a3a803dd7338210c1a772f55
 > git rev-list 83c4463e7195b412a3a803dd7338210c1a772f55 # timeout=10
[workspace] $ /bin/sh -xe /tmp/hudson5606381166745886966.sh
+ ./build.sh
Sending build context to Docker daemon 
2014/10/24 16:14:18 Post http:///var/run/docker.sock/v1.15/build?rm=1&t=<redacted>%2Fpython%3A3.4: dial unix /var/run/docker.sock: permission denied
Build step 'Execute shell' marked build as failure
[ssh-agent] Stopped.
Notifying upstream projects of job completion
Finished: FAILURE

Isso ocorre com o Docker 1.3.0 e o Ubuntu 14.04.1. Alguma pista?

Matt W
fonte
Parece relacionado a esse problema . A reinicialização resolveu isso para mim.
smilly92
A reinicialização não resolveu isso para mim.
Matt W
1
Parece que Jenkins descarta outros grupos que não o grupo principal do usuário. Quando executo o comando id de um shell como usuário do Jenkins, vejo que ele está no grupo de janelas de encaixe, mas quando executo o id em um trabalho de estilo livre, ele mostra apenas o usuário do Jenkins. Ainda não descobri como consertar.
Joseph Mulloy
Primeiro, verifique se você tem o usuário jenkins no grupo de janelas de encaixe. Em seguida, se o escravo com problemas estiver conectado ao mestre, desconecte e reconecte-o novamente. Faça isso através de 'gerenciar jenkins' / 'gerenciar nós'.
Arminmor 17/01/19

Respostas:

12

Eu acho que dar privilégios de grupo jenkins ao docker unix socket resolve o problema. Isso pode ser modificado com a configuração das opções de inicialização do daemon de docker no arquivo de configuração, incluindo esta linha

DOCKER_OPTS=' -G jenkins'

No ubuntu /etc/default/dockeré o arquivo de configuração do docker.

eldos
fonte
Este ainda é o meu go-to solução para novas instalações no Ubuntu 16.04
lead_brogrammer
1

Execute o groupscomando usando jenkins. Você vê um dockergrupo? Caso contrário, tente reiniciar o escravo Jenkins. Ou simplesmente mate o processo slave.jar do Jenkins: ps aux | grep jenkins

Vanuan
fonte
Depois de executar algumas das etapas acima, a peça final para fazê-lo funcionar era reconectar o escravo de jenkins. Obrigado pela dica.
Dean Poulin