普通用户运行 docker ps 时，如果提示 permission denied while trying to connect to the Docker daemon socket，说明Docker客户端无法访问所选的守护进程端点。最常见的是当前用户无权打开 /var/run/docker.sock，但服务未启动或环境变量指向错误端点也可能产生相似现象。
先确认客户端连向哪里，再决定是否授权。 把用户加入docker组不是普通的只读日志权限；Docker官方明确提醒，该组能够获得root级能力。
区分权限拒绝与守护进程未运行
先读取客户端上下文和端点，不要直接修改套接字权限：
docker context show
docker context inspect --format '{{json .Endpoints.docker.Host}}'
printf 'DOCKER_HOST=%s\n' "${DOCKER_HOST:-<unset>}"默认本地Engine通常通过Unix套接字通信。继续检查服务与套接字：
sudo systemctl status docker --no-pager -l
sudo systemctl status docker.socket --no-pager -l
stat -c '%A %U %G %n' /var/run/docker.sock如果服务是inactive或failed，应先查看 journalctl -u docker -b 解决守护进程启动故障；如果服务正常、套接字存在且错误明确为permission denied，才进入用户授权检查。Cannot connect不一定等于权限不足，不能把所有连接错误都用chmod处理。
检查当前用户和组会话
确认实际登录身份、组成员关系以及套接字所属组：
id
getent group docker
stat -c '%U %G %a %n' /var/run/docker.sock有时管理员已经执行 usermod -aG docker USER，但当前SSH会话仍使用旧的补充组列表。id 没有显示docker组时，可以退出后重新登录，或在受控场景使用 newgrp docker 启动新Shell。
判断是否生效应看当前进程的组列表，而不是只看 @@HTMLTOKEN0@@。 在自动化、systemd服务或CI中，还要检查运行任务的真实用户；给交互登录账号授权不会自动改变后台服务身份。
按最小权限选择处理方式
临时执行少量管理命令，最简单的方式是保留root拥有的套接字并使用sudo：
sudo docker ps确实需要某个受信任管理员长期无sudo操作时，可按Docker官方流程创建或复用docker组并加入指定用户：
sudo groupadd docker 2>/dev/null || true
sudo usermod -aG docker "$USER"随后重新登录，再用 id 和 docker run --rm hello-world 验证。不要执行 @@HTMLTOKEN2@@；这会让所有本地用户都能控制以root运行的守护进程。 对多租户主机、共享跳板机或不可信CI，应考虑Rootless模式，而不是扩大docker组成员。
修复sudo造成的用户配置属主问题
先用sudo运行Docker、之后改为普通用户时，可能看到 ~/.docker/config.json: permission denied。这不是daemon套接字本身，而是用户配置目录被root创建。检查后只修复当前用户的目录：
ls -ld "$HOME/.docker" "$HOME/.docker/config.json" 2>/dev/null
sudo chown -R "$USER":"$USER" "$HOME/.docker"
sudo chmod -R u+rwX,go-rwx "$HOME/.docker"不要对整个家目录递归改属主，也不要在脚本中假定 $USER 一定是目标账号；通过sudo或服务运行时应先确认身份。
需要演练Rootless与普通Engine差异，可以在 萤光云 建立隔离VPS；要验证远程Docker上下文，也可在 LightNode 创建临时节点。远程守护进程必须使用SSH或双向TLS，不能裸露不受保护的TCP端口。
验收并收紧授权范围
重新登录后逐项验证：
id
docker context show
docker version
docker info --format '{{.ServerVersion}}'
docker ps客户端与服务端版本都能返回、docker ps 不再报权限错误，才说明端点访问恢复。再审计docker组成员，移除不再需要的账号：
getent group docker
sudo gpasswd -d olduser docker验收标准不仅是命令能运行，还包括没有把套接字开放给无关用户、没有遗留错误的DOCKER_HOST，并且授权对象与运维职责一致。
FAQ
把用户加入docker组后为什么仍然报错？
多数是当前会话没有刷新组列表，也可能客户端使用了其他context或DOCKER_HOST。重新登录并检查 id 与上下文。
重启Docker能修复权限吗？
只有套接字未按服务配置重新创建时可能有关。用户不在正确组或会话未刷新时，重启守护进程不会解决根因，还可能中断容器。
docker组真的等同root吗？
Docker官方将其标记为root-level privileges，因为成员可以启动特权容器、挂载宿主机路径等。共享服务器应严格限制成员。
温馨提示
Docker套接字是高权限控制面。优先确认端点和故障类型，再在sudo、受控docker组或Rootless模式之间选择；绝不能用全局可写权限换取方便。
