命令 dockerd 中开关 --containerd 的目的是什么？

Question

如果我运行 systemctl cat docker.service 来检查 docker.service 的单元文件， ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock可以在docker的默认单元文件中找到。

我的问题是切换的目的是什么 --containerd=/run/containerd/containerd.sock?

根据this quesion的回答，如果我为docker.service生成一个覆盖文件，内容为：

[Service]
ExecStart=
ExecStart=/usr/bin/dockerd -H fd://

有效的配置是：

[Service]
ExecStart=/usr/bin/dockerd -H fd://

和--containerd=/run/containerd/containerd.sock 将被省略。

那么这个配置会导致什么结果呢？ 我希望 docker 在启用 TLS 保护的情况下，可以在本地和远程正常工作。 我还需要通过 ssh 调用 docker daemon。

提前谢谢你。

Answer 1

文档的重要部分位于“Docker runtime execution options”部分的下方，其中写道：

Docker 守护程序依赖于符合 OCI 的运行时（通过 containerd 守护程序调用）作为其与 Linux 内核命名空间、cgroup 和 SELinux 的接口。

默认情况下，Docker 守护进程会自动启动 containerd。如果要控制 containerd 的启动，请手动启动 containerd 并使用 --containerd 标志将路径传递给 containerd 套接字。

换句话说，原始的 Docker 单元可能包含 --containerd=/run/containerd/containerd.sock，因为 containerd 由 systemd .socket 和 .service 单元管理。

通过从您的覆盖中排除标志，我对文档的阅读是 Docker 将启动自己的 containerd 实例，而不是使用绑定到 /run/containerd/containerd.sock 的实例。

可能无害，但最好将该标志添加到覆盖命令行中。