Rootless Docker 运维需适配用户态特性：校验非 root 用户、linger、slirp4netns/fuse-overlayfs、XDG_RUNTIME_DIR 和 DOCKER_HOST；用 systemd --user 管理生命周期；配置在 $HOME/.docker/daemon.json；日志依赖 journalctl --user；健康检查须验证 socket 连通性与容器状态。
启用 docker rootless 模式后，容器运行不再依赖 root 权限，但运维管理方式与传统 daemon 模式有明显差异：服务生命周期由用户态进程（如 dockerd-rootless.sh）控制，socket 路径非标准、环境变量需显式加载、systemd 用户服务需单独启用，且日志、重启、升级等操作不能直接复用 root 模式脚本。自动化脚本必须围绕用户上下文、session 生命周期和 rootless 特有约束来设计。
Rootless 环境初始化与依赖校验
脚本执行前需确认当前用户已满足 rootless 运行前提，避免后续失败。重点检查：
– 当前是否为非 root 用户且已配置 loginctl enable-linger（确保 user session 长期存活）
– slirp4netns 和 fuse-overlayfs 是否可用（rootless 存储与网络必需）
– $XDG_RUNTIME_DIR 是否存在且权限正确（通常为 /run/user/$(id -u)）
– Docker CLI 是否已指向 rootless socket（推荐通过 export DOCKER_HOST=unix://$XDG_RUNTIME_DIR/docker.sock 显式声明）
建议在脚本开头加入如下校验逻辑：
if [ "$(id -u)" = "0" ]; then
echo "Error: must run as non-root user" >&2; exit 1
fi
if ! loginctl show-user "$USER" | grep -q "Linger=yes"; then
echo "Warning: user lingering not enabled. Run: loginctl enable-linger $USER"
fi
for cmd in slirp4netns fuse-overlayfs; do
if ! command -v "$cmd" >/dev/null; then
echo "Missing required binary: $cmd" >&2; exit 1
fi
done
Rootless Docker 启动/停止/状态管理
rootless docker 不通过系统级 systemd 启动，而是以普通进程运行在用户 session 中。官方推荐使用 dockerd-rootless.sh 启动，但该脚本默认前台阻塞，不适合直接用于自动化。实际脚本中应：
- 使用
systemd --user start docker（前提是已安装并启用~/.config/systemd/user/docker.service），这是最稳定的方式 - 若未启用 systemd 用户服务，可后台启动并记录 PID：
nohup dockerd-rootless.sh >$HOME/docker-rootless.log 2>&1 & echo $! >$HOME/docker-rootless.pid - 停止时优先尝试
systemd --user stop docker；若失败，则读取 pid 文件并kill，再清理 socket 和 state 目录（$XDG_RUNTIME_DIR/docker.sock、$HOME/.local/share/docker） - 状态检查不应只看进程是否存在，而应调用
docker info --format '{{.ServerVersion}}' 2>/dev/null，能返回版本即表示服务就绪
自动化部署与配置同步
rootless 模式的配置文件位于 $HOME/.docker/daemon.json，而非 /etc/docker/daemon.json。脚本部署时需注意：
- 配置变更后必须重启 rootless daemon 才生效（仅 reload 不支持）
- 若需统一多台机器的 rootless 配置，建议将
daemon.json模板 + 变量注入（如自定义 bridge IP、insecure-registries）结合jq工具生成，避免手动编辑 - 镜像缓存、构建上下文等 I/O 密集操作默认落在
$HOME/.local/share/docker，脚本中如需清理磁盘，应使用docker system prune -af --volumes并确保当前用户对 volume 目录有写权限 - 可配合
docker context创建专用 rootless 上下文：docker context create myrootless --docker host=unix://$XDG_RUNTIME_DIR/docker.sock，后续命令显式指定--context myrootless，提升可读性与隔离性
日志采集、健康巡检与异常恢复
rootless 日志默认输出到 stdout/stderr，无集中日志路径。自动化运维中需主动归集：
- 若使用 systemd 用户服务，日志可通过
journalctl --user-unit docker -n 100实时获取；脚本中可定时拉取最近错误行（journalctl --user-unit docker -S "1 hour ago" | grep -i "error\|fail"） - 建立简单健康检查函数：检测 socket 是否可连、
docker ps是否超时、关键容器（如监控 agent）是否仍在运行 - 常见异常如
cannot connect to the Docker daemon，多数因XDG_RUNTIME_DIR会话过期或 daemon 进程崩溃。脚本可自动触发重启逻辑，并发送通知（如写入$HOME/health-alert.log或调用 webhook） - 升级 rootless docker 时，需先停服务、替换二进制（
$HOME/bin/dockerd-rootless.sh）、重载 systemd 用户 unit（systemctl --user daemon-reload），再启动——这些步骤必须原子化封装，避免半升级状态
