← Sandbox SDK / sandbox / guides

Запуск Docker-in-Docker

В этом руководстве показано, как запустить Docker внутри Sandbox, чтобы собирать и запускать образы контейнеров, находясь в защищённой песочнице.

Используйте Docker-in-Docker, если вам нужно:

• Разработка контейнеризированных приложений - Запустите docker build чтобы создавать образы из Dockerfile
• Запуск Docker в составе CI/CD - Реагируйте на изменения кода, собирайте и отправляйте образы с помощью Cloudflare Containers
• Запуск произвольных образов контейнеров - Запуск контейнеров из образа, предоставленного конечным пользователем

Cloudflare Containers работают без прав root, поэтому нужно использовать rootless-образ Docker. Создайте собственный Dockerfile, который объединяет бинарный файл песочницы с Docker:

FROM docker:dind-rootless
USER root

# Use the musl build so it runs on Alpine-based docker:dind-rootless
COPY --from=docker.io/cloudflare/sandbox:0.7.4-musl /container-server/sandbox /sandbox
COPY --from=docker.io/cloudflare/sandbox:0.7.4-musl /usr/lib/libstdc++.so.6 /usr/lib/libstdc++.so.6
COPY --from=docker.io/cloudflare/sandbox:0.7.4-musl /usr/lib/libgcc_s.so.1 /usr/lib/libgcc_s.so.1
COPY --from=docker.io/cloudflare/sandbox:0.7.4-musl /bin/bash /bin/bash
COPY --from=docker.io/cloudflare/sandbox:0.7.4-musl /usr/lib/libreadline.so.8 /usr/lib/libreadline.so.8
COPY --from=docker.io/cloudflare/sandbox:0.7.4-musl /usr/lib/libreadline.so.8.2 /usr/lib/libreadline.so.8.2

# Create startup script that starts dockerd with
# iptables disabled, waits for readiness, then keeps running
RUN printf '#!/bin/sh\n\
  set -eu\n\
  dockerd-entrypoint.sh dockerd --iptables=false --ip6tables=false &\n\
  until docker version >/dev/null 2>&1; do sleep 0.2; done\n\
  echo "Docker is ready"\n\
  wait\n' > /home/rootless/boot-docker-for-dind.sh && chmod +x /home/rootless/boot-docker-for-dind.sh

ENTRYPOINT ["/sandbox"]
CMD ["/home/rootless/boot-docker-for-dind.sh"]

После развёртывания вы можете выполнять команды Docker через песочницу:

import { getSandbox } from "@cloudflare/sandbox";

const sandbox = getSandbox(env.Sandbox, "docker-sandbox");

// Build an image
await sandbox.writeFile(
	"/workspace/Dockerfile",
	`
FROM alpine:latest
RUN apk add --no-cache curl
CMD ["echo", "Hello from Docker!"]
`,
);

const build = await sandbox.exec(
	"docker build --network=host -t my-image /workspace",
);
if (!build.success) {
	console.error("Build failed:", build.stderr);
}

// Run a container
const run = await sandbox.exec("docker run --network=host --rm my-image");
console.log(run.stdout); // "Hello from Docker!"

import { getSandbox } from "@cloudflare/sandbox";

const sandbox = getSandbox(env.Sandbox, "docker-sandbox");

// Build an image
await sandbox.writeFile(
	"/workspace/Dockerfile",
	`
FROM alpine:latest
RUN apk add --no-cache curl
CMD ["echo", "Hello from Docker!"]
`,
);

const build = await sandbox.exec(
	"docker build --network=host -t my-image /workspace",
);
if (!build.success) {
	console.error("Build failed:", build.stderr);
}

// Run a container
const run = await sandbox.exec("docker run --network=host --rm my-image");
console.log(run.stdout); // "Hello from Docker!"

У Docker-in-Docker в Cloudflare Containers есть следующие ограничения:

• Без iptables - Функции сетевой изоляции, использующие iptables, недоступны
• Только в rootless-режиме - Вы не можете использовать привилегированные контейнеры или функции, требующие root
• Эфемерное хранилище - Собранные образы и контейнеры теряются при переходе песочницы в спящий режим. Сохраняйте их вручную.

• Справочник по Dockerfile - Настройте образ своей песочницы
• Выполнять команды - Запуск команд в песочнице
• Фоновые процессы - Управляйте длительными процессами