🔭Docker 컨테이너 안에서 Docker를 사용하는 방법이 있다고?

안녕하세요 구독자님, DevOps 소식과 기술 지식을 정리해서 공유해드리는 DevOps 여행을 위한 소식지입니다.

Docker는 애플리케이션을 Container라는 독립된 환경을 실행하고 관리해주는 툴인데요. 독립된 환경이라고 했지만, 호스트 안에 거의 새로운 Linux 환경을 구축한다는 느낌을 받기도 하죠.

그래서 아래와 같은 질문 나올 수도 있습니다.

이렇게 나온 컨셉이 바로, Docker In Docker(DID)입니다.

📜우리가 Docker를 사용할 수 있도록 도와주는 docker.sock 파일

우리가 Docker를 설치할 때 Docker daemon과 Docker CLI가 함께 설치됩니다. 터미널 환경에서 docker build, docker run 등의 명령어를 입력하면 Docker CLI가 명령어를 Docker daemon에게 전달해서 해당 동작을 수행하게 하는데요.

Docker CLI가 Docker daemon에게 명령어를 전달하는 과정에서 그 통로 역할을 하는 파일이 하나 있으니, 바로 docker.sock입니다.

Docker와 함께 설치되는 docker.sock 파일의 기본 위치는 /var/run/docker.sock인데요. Docker CLI에서도 해당 위치에 docker.sock 파일이 존재한다는 설정이 기본값으로 지정되어 있습니다.

이렇게 DID라는 개념을 설명드리기 전에 docker.socket이라는 파일을 먼저 살펴본 것은, Docker In Docker(DID) 구현을 위해 docker.socket 파일을 활용할 예정이기 때문입니다.

위에서 Docker CLI가 Docker daemon에 Docker 명령어를 전달할 때 docker.sock 파일을 이용한다고 했었죠. 이는 곧 외부 Docker CLI가 docker.socket에 접근할 수 있다면, 이와 연결된 Docker daemon에 명령어를 내릴 수 있다는 의미이기도 합니다.

🐋Docker In Docker(DID)를 사용하는 이유

CI/CD 파이프라인을 구축할 때 DID를 활용하면 편한 경우가 있는데요. 쉬운 설명을 위해 Jenkins가 Docker Container로 동작하는 상황에서 Jenkins 파이프라인을 구성 중이라고 가정해볼게요.

파이프라인이 동작할 때 특정 스테이지에서 Docker Image를 빌드해야 하는 경우가 있을 수 있습니다. 하지만 파이프라인을 실행하는 Jenkins가 Docker Container 상에서 동작 중인 상황이기 때문에, 우리는 해당 Container 내부에서 Docker Build 작업을 수행해야 합니다.

이때 위에서 설명한 DID 컨셉을 이용한다면, Container 내부에 Docker CLI를 설치 후, 이미 호스트에 설치된 docker.sock에 접근하는 방식으로 호스트의 Docker daemon으로 Docker Build 작업을 수행할 수 있게 됩니다.

🖥️Docker In Docker(DID)를 사용하는 방법

DID 컨셉을 활용하기 위한 가장 핵심은, Docker 명령어 실행이 필요한 컨테이너를 실행할 때 아래 옵션을 추가하는 것입니다.

우리가 지금까지 가정했던 상황의 경우, Jenkins가 실행되는 Docker Container가 여기에 해당됩니다.

이 Container가 실행되는 기존 docker run 명령어에 위와 같이 호스트의 docker.sock 파일 경로를 Container 내부의 동일한 경로에 복사하는 -v 옵션을 추가하는 것인데요.

여기에 추가로 해당 Container 내부에 Docker CLI를 설치하면, Container 내 터미널 환경에서 docker 명령어를 바로 수행할 수 있게 됩니다.

⚠️Docker In Docker(DID) 사용 시 고민해야 할 점

위에서 살펴본 것처럼, DID는 Container 내부의 Docker CLI가 호스트에 설치된 Docker daemon을 사용합니다. 즉, Container 안으로 접근만 할 수 있다면 호스트의 Docker daemon을 제한 없이 사용할 수 있는 것이죠.

만약 이를 외부에서 악용한다면 심각한 보안 이슈가 발생할 수도 있는데요. 그렇기 때문에 DID를 사용할 때엔 Container 접근과 관련된 보안 설비가 충분히 구축되어야 안전하겠습니다.

이와 관련해서 Container 런타임 보안에 대해 지난 소식지에서 다룬 적이 있으니 참고해보세요 😊

🔭마치며...

오늘은 Docker Container 내부에서 외부 Docker daemon을 동작시키는 DID 컨셉에 대해 알아봤는데요.

혹시 이번 내용 관련해서 더 궁금한 점이 있으시다면 아래 메일리 댓글 남겨주세요.😀

그럼, 다음 소식지에서 보다 알차고 흥미로운 내용으로 찾아뵙겠습니다.

오늘도 감사합니다, 구독자님 😺

🔗References

DevOps와 클라우드 관련 기술 지식을 공유하는 블로그도 운영 중입니다 :)

🔭DevOps 여행을 위한 안내서