Docker: нет прав на docker.sock при запуске без sudo

#Что означает ошибка

Ошибка «permission denied while trying to connect to the Docker daemon socket at unix:///var/run/docker.sock» означает, что демон Docker работает, но у вашего пользователя нет доступа к сокету. Сокет принадлежит root и группе docker.

Не запускайте каждую команду через sudo и не открывайте сокету права 777: добавьте пользователя в группу docker — это штатный и безопасный способ.

Демон Docker работает от root. Обращаться к нему могут только root и члены группы docker.

#Причины и решения

#Пошаговое решение

1. Добавьте пользователя в группуСообщение permission denied while trying to connect to the Docker daemon socket означает, что текущий пользователь не может обращаться к демону Docker. На Linux откройте терминал и сначала выполните id -nG, ls -l /var/run/docker.sock и docker context ls. Важное предупреждение: членство в группе docker фактически предоставляет возможность получить права администратора хоста; на общем сервере нельзя добавлять туда всех пользователей ради удобства. Предпочтите доступ через штатное управление, rootless Docker или согласованный sudo.
2. Обновите сеансТолько если вы администратор личного/доверенного сервера и согласны выдать пользователю фактически привилегированный доступ, используйте sudo usermod -aG docker имя_пользователя, заменив имя настоящей учётной записью (id -un). Параметр -aG добавляет группу, не стирая другие. Если группа docker отсутствует или используется rootless Docker, выясните модель установки; команда может быть неприменима.
3. Проверьте группыПосле разрешённого изменения групп полностью завершите SSH/терминальную сессию и войдите заново: новые групповые права должны попасть в процесс оболочки. Для проверки в отдельном терминале можно выполнить id -nG. newgrp docker меняет группу текущей оболочки, но это лишь временный способ и не заменяет проверку политики доступа. На рабочем сервере лучше открыть новый сеанс, чем выполнять команды в неопределённом старом окружении.
4. Проверьте сокетВыполните ls -l /var/run/docker.sock и проверьте владельца/группу, часто root docker, а также права. Если сокет принадлежит другому пользователю из-за rootless Docker, используйте соответствующий docker context и переменную DOCKER_HOST, а не правьте права системного сокета. Никогда не выполняйте chmod 666 /var/run/docker.sock и не делайте доступ открытым для всех.
5. Проверьте работуПосле получения согласованного доступа выполните docker info или безопасную команду docker ps и проверьте, что вывод получен без permission denied. Запуск hello-world дополнительно скачивает образ из сети, поэтому не обязателен. Если доступ по-прежнему запрещён, уточните, какой пользователь запустил Docker, работает ли демон (systemctl status docker) и не выбран ли другой контекст Docker.
6. Дополнительная команда по теме

   Linux · Терминал (Bash)КомандаНужен sudoКопировать всёВыделить

   Добавление в группу docker только после явного решения администратора: членство даёт привилегии уровня root

   # ДИАГНОСТИКА; НЕ добавляйте пользователя в docker без оценки риска

   id -un

   id -nG

   ls -l /var/run/docker.sock

   docker context ls

#Если не помогло

Не делайте chmod 666 /var/run/docker.sock: это открывает управление хостом любому пользователю. Для безопасности рассмотрите rootless-режим Docker.

#Почему так устроено

Docker-демон выполняется от root, а доступ к его сокету фактически даёт права администратора на хост. Поэтому в группу docker добавляют только доверенных пользователей. Для серверов с повышенными требованиями безопасности используют rootless-режим Docker.

#Если после добавления в группу не помогло

Группы применяются при входе в сеанс. Завершите сеанс или выполните newgrp docker. В SSH-подключении переподключитесь. Проверьте id — в списке групп должна быть docker. Если сокет принадлежит другому владельцу, исправьте: sudo chown root:docker /var/run/docker.sock.