Jenkins 使用 Docker Agent 的核心目的是为每次构建提供干净、独立、按需创建且用完即毁的运行环境，彻底规避环境污染和依赖冲突；它通过动态拉起容器执行任务，结合官方镜像、安全配置与 Pipeline 声明式语法，实现环境隔离、资源可控与构建可复现。
Jenkins 使用 Docker Agent 的核心目的，就是为每次构建提供一个干净、独立、按需创建的运行环境。它不是简单地把 Jenkins 跑在容器里，而是让构建任务在临时容器中执行，用完即毁，彻底规避环境污染和依赖冲突。
选择合适的基础镜像
官方 `jenkinsci/docker-agents` 提供了多种预置镜像（如 `docker-agent`、`kubernetes-agent`），覆盖 Java、Node.js、Python 等主流栈。生产环境建议优先选用轻量、安全的镜像： - Alpine 基础镜像体积小、攻击面窄，适合多数场景 - 若需 glibc 或特定工具链（如 Maven、Gradle），可选 Debian slim 版本 - 避免使用 `latest` 标签，必须指定明确版本（如 `jenkins/inbound-agent:4.15-4`），确保构建可复现例如，一个最小化 Java 构建镜像的 Dockerfile 片段：
FROM jenkins/inbound-agent:4.15-4 USER root RUN apt-get update && apt-get install -y openjdk-17-jdk-headless git curl && rm -rf /var/lib/apt/lists/* USER jenkins
配置 Jenkins 以动态拉起容器
关键在于启用 Docker Cloud 插件并正确对接 Docker Daemon： - 安装插件：`Docker Plugin`（非 `Docker Pipeline`，后者仅用于 Pipeline 内调用命令） - 在“系统配置 > 节点和云管理 > 云”中添加 Docker Cloud - Docker URL 填写宿主机 Docker API 地址，如 tcp://192.168.1.100:4243（需提前配置 dockerd 监听 TCP） - 设置容器模板时，指定镜像名、标签（Label）、最大实例数、挂载卷（如 `/var/run/docker.sock:/var/run/docker.sock` 用于嵌套构建）注意：若 Jenkins 主节点与 Docker 宿主机分离，需确保网络连通且端口开放；若同机部署，推荐使用 Unix Socket（unix:///var/run/docker.sock）更安全。
UP 简历 - 让 Agent 帮你写简历找工作
下载
UP 简历 AI 求职助手。创建专业简历、搜索校招/社招/实习岗位、JD 对照优化、简历诊断、每日求职监控、智能投递指导。当用户说"创建简历"、"编辑简历"、"搜索校招"、"找工作"、"优化简历"、"投递"、"监控校招"时使用。
在 Pipeline 中声明并使用 Docker Agent
无需手动管理节点，直接在流水线中定义环境需求：声明式 Pipeline 示例：
pipeline {
agent {
docker {
image 'my-registry/my-java-build:17.0.2'
label 'docker-java'
args '-u root' // 如需 root 权限（谨慎使用）
registryUrl 'https://my-registry.example.com'
credentialsId 'harbor-creds'
}
}
stages {
stage('Build') {
steps {
sh 'java -version && mvn clean package -B'
}
}
}
}该配置会自动触发：匹配带 docker-java 标签的云配置 → 拉取镜像 → 启动容器 → 执行构建 → 容器销毁。整个过程对用户透明，环境完全隔离。
保障安全性与资源可控
Docker Agent 并非天然安全，需主动加固： - 容器内始终以非 root 用户运行（如 `USER jenkins`），避免权限滥用 - 限制容器资源：在 Docker Cloud 模板中设置 CPU Shares、内存上限（如 512MB） - 禁止挂载敏感路径（如 `/etc`, `/root`），只挂载必需目录（如 workspace、m2 repo） - 对接凭证管理：通过 Jenkins Credentials 绑定镜像仓库登录信息，不硬编码密码一旦配置完成，每个构建都运行在全新容器中，Java 版本、Maven 插件、甚至 shell 环境变量都不会相互干扰。这种“一次一环境”的模式，正是现代 CI/CD 可靠性的底层支撑。
