别再用旧方法了！Ubuntu 26.04 LTS 一键搞定最新 Docker 社区版与极速镜像源配置

发布时间: 2026-05-26

Ubuntu Linux LTS Docker Docker-CE Docker-Compose Mirror Proxy

写在前面

随着 Ubuntu 26.04 LTS（Resolute Raccoon）的正式发布，许多开发者和系统管理员都开始将他们的开发与生产环境迁移至这个最新的长期支持版本。然而，作为容器化技术的基石，Docker 在新系统上的安装与配置却给不少人带来了困扰。

如果你还在使用传统的 apt-get install docker.io 或者套用几年前的 Ubuntu 20.04/22.04 旧教程来配置 APT 源与镜像加速，那么你可能会面临软件包版本陈旧、源格式冲突（DEB822 新格式带来的困惑）、或者因网络阻断导致镜像无法拉取的窘境。

本文将手把手带你深度剖析 Ubuntu 26.04 下 Docker 社区版（Docker CE）的正确安装姿势，并结合最新的 DEB822 源规范、非 Root 用户安全权限划分、以及在当前复杂网络环境下的极速代理与私有镜像源配置，为你奉上一份真正结构化、高可用的实战指南。

1. 整体安装与配置流程概览

在正式动手之前，我们先通过图 1 了解本次安装与配置的完整生命周期。我们将遵循“清理旧包 -> 配置新源 -> 规范安装 -> 权限划分 -> 网络加速”的标准化运维路径。

Docker 安装配置流程图 图 1：Ubuntu 26.04 Docker-CE 标准化安装与配置工作流

2. 步骤一：彻底清理冲突与陈旧软件包

在 Ubuntu 26.04 系统的默认软件仓库中，包含了由 Ubuntu 维护的旧版 Docker 包（如 docker.io）或可能引起冲突的容器运行时组件（如 podman）。为了避免版本冲突、二进制文件覆盖以及 systemd 单元命名冲突，我们必须在安装 Docker 社区官方版（Docker CE）之前，彻底清理这些旧包。

2.1 执行清理命令

运行以下命令来卸载所有冲突的软件包：

sudo apt-get remove -y \
  docker \
  docker-engine \
  docker.io \
  docker-doc \
  docker-compose \
  podman-docker \
  containerd \
  runc

2.2 为什么必须清理？

版本不一致：Ubuntu 官方源中的 docker.io 更新频率远低于 Docker 官方维护的 docker-ce。混合使用可能导致某些高级功能（如 Buildx 的新特性、或者是最新的安全修补）无法使用。
命令软链接冲突：例如 podman-docker 会生成一个指向 podman 的 docker 别名，这会干扰我们使用真正的 Docker 守护进程。
残留配置干扰：旧版软件包残留的 /etc/docker/daemon.json 或 systemd 服务文件可能会导致新的 Docker 守护进程无法正常启动。

3. 步骤二：配置 Docker 官方 APT 软件源（基于 DEB822 新规范）

自 Ubuntu 24.04 起，系统已默认全面启用全新的 DEB822 格式配置来管理 APT 源（配置文件存放于 /etc/apt/sources.list.d/ 下以 .sources 结尾的文件中）。

相比于传统的单行格式（One-line style），DEB822 采用结构化的 Key: Value 键值对，使配置更加清晰，且能实现 GPG 密钥与源的“一对一安全绑定”，避免了全局密钥库污染的问题。

3.1 准备基础依赖与 GPG 密钥

首先，安装 APT 传输所需的工具包，并创建用于存放 Docker GPG 密钥的目录：

# 更新本地包索引
sudo apt-get update

# 安装基础证书与工具
sudo apt-get install -y ca-certificates curl gnupg

# 创建符合安全规范的密钥存储目录
sudo install -m 0755 -d /etc/apt/keyrings

接下来，下载 Docker 官方的安全 GPG 密钥，并转换为二进制格式存储。这里我们以官方源为例，后续如果网络受限，你也可以使用国内镜像源（如阿里云、清华源等）的对应密钥。

# 下载 Docker 官方 GPG 密钥并保存
sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg -o /etc/apt/keyrings/docker.asc

# 确保密钥文件拥有正确的只读权限，防止恶意篡改
sudo chmod a+r /etc/apt/keyrings/docker.asc

3.2 使用 DEB822 格式写入软件源

不要再去编辑 /etc/apt/sources.list 了！我们直接在 /etc/apt/sources.list.d/ 目录下为 Docker 创建一个专属的 .sources 文件。

你可以选择使用 Docker 官方源 或是 阿里云镜像源（如果你的服务器在国内且网络访问受限）。

选项 A：使用 Docker 官方源（推荐境外或网络畅通的服务器使用）

使用以下命令写入配置：

sudo tee /etc/apt/sources.list.d/docker.sources << 'EOF'
Types: deb
URIs: https://download.docker.com/linux/ubuntu
Suites: resolute
Components: stable
Signed-By: /etc/apt/keyrings/docker.asc
EOF

选项 B：使用阿里云镜像源（国内服务器推荐）

如果你在中国大陆的云服务器上部署，使用官方源可能会遇到连接超时。此时，使用阿里云的 Docker 镜像源是极佳的替代方案。

首先，下载阿里云镜像站提供的 Docker GPG 密钥：

sudo curl -fsSL https://mirrors.aliyun.com/docker-ce/linux/ubuntu/gpg -o /etc/apt/keyrings/docker-aliyun.asc
sudo chmod a+r /etc/apt/keyrings/docker-aliyun.asc

然后写入以下 DEB822 格式源：

sudo tee /etc/apt/sources.list.d/docker.sources << 'EOF'
Types: deb
URIs: https://mirrors.aliyun.com/docker-ce/linux/ubuntu
Suites: resolute
Components: stable
Signed-By: /etc/apt/keyrings/docker-aliyun.asc
EOF

注意： Ubuntu 26.04 LTS 的版本代号为 Resolute Raccoon，因此源配置中的 Suites 字段必须填写 resolute。如果在刚发布阶段 Docker 官方仓库尚未完全同步 resolute 的目录，你可以临时将其指定为上一个 LTS 版本 noble（Ubuntu 24.04），它们在二进制包上是二进制兼容的。

4. 步骤三：安装与验证 Docker 社区版

配置好软件源后，我们就可以通过系统的包管理器一键安装最新版的 Docker 社区版及相关配套插件了。

4.1 执行安装

# 再次更新包索引以加载新增的 Docker 源
sudo apt-get update

# 安装 Docker 核心组件及常用插件
sudo apt-get install -y \
  docker-ce \
  docker-ce-cli \
  containerd.io \
  docker-buildx-plugin \
  docker-compose-plugin

软件包功能解析：

docker-ce：Docker 社区版守护进程（Engine），负责管理容器、网络和卷。
docker-ce-cli：Docker 命令行客户端，我们平时执行的 docker 命令即由它提供。
containerd.io：行业标准的容器运行时（Container Runtime），Docker 底部依赖它来管理容器生命周期。
docker-buildx-plugin：新一代构建工具，支持多架构镜像构建（Multi-arch builds）、缓存导入导出等高级功能。
docker-compose-plugin：Docker Compose V2 插件，通过命令行 docker compose（不带连字符）提供多容器编排支持。

4.2 验证运行状态

安装完成后，Docker 会被 systemd 自动拉起。你可以通过以下命令检查其状态：

systemctl status docker

如果看到 active (running)，说明 Docker 已经成功在你的 Ubuntu 26.04 系统上跑起来了。你也可以通过 docker --version 和 docker compose version 查看具体的版本号。

5. 步骤四：配置非 Root 用户权限（安全隔离最佳实践）

默认情况下，Docker 守护进程与本地 Unix 套接字（Unix socket）/var/run/docker.sock 绑定。而该套接字默认只属于 root 用户和 docker 用户组。因此，普通用户直接执行 docker 命令会遭遇 Permission denied 报错。

为了安全起见，我们绝对不推荐在日常开发中直接使用 sudo 执行 Docker 命令，因为这会导致容器挂载的本地目录生成只有 root 权限的文件，并且存在提权风险。

5.1 权限控制工作流

下面的图 2 展示了当非 root 用户执行 Docker 命令时，系统是如何通过 Unix 套接字与用户组进行权限校验的。

Docker 权限校验流程图 图 2：Docker 守护进程的 Unix Socket 权限校验工作流

5.2 将当前用户加入 Docker 组

执行以下操作，将当前登录用户（或指定用户）加入到 docker 组中：

# 1. 创建 docker 组（通常安装 Docker 时已自动创建，此命令作为双保险）
sudo groupadd -f docker

# 2. 将当前用户 ($USER) 加入到 docker 组中
sudo usermod -aG docker $USER

5.3 激活组权限

为了让用户组修改立即生效，通常需要退出终端重新登录。如果你不想中断当前的 SSH 会话，可以使用 newgrp 命令在当前 shell 中立即激活修改：

# 立即应用组变更
newgrp docker

5.4 测试非 root 运行

现在，你可以不加 sudo 运行一个测试容器了：

docker run --rm hello-world

如果控制台输出了 “Hello from Docker!"，代表你的非 root 权限配置已完全成功。

6. 步骤五：网络加速配置（国内环境生存指南）

在国内或者企业内网的复杂网络环境下，直接从公网拉取镜像通常会遇到拉取缓慢、连接被重置等问题。为了保证容器部署的流畅度，我们通常需要配置 自建/企业私有镜像加速源 或是 系统级 HTTP 代理。

下面的架构图展示了在不同网络环境下，Docker 守护进程如何通过本地代理或配置镜像源加速访问远端镜像中心（Docker Hub）。

Docker 网络架构与代理流程 图 3：Docker 守护进程网络请求路由（镜像源加速与 Systemd 代理）

6.1 方案一：配置 Docker 守护进程镜像源（`daemon.json`）

如果你有可用的私有镜像缓存服务器（如企业内部部署的 Harbor 代理），或者第三方提供的加速通道，可以通过编辑 /etc/docker/daemon.json 来配置。

创建并编辑配置文件：

sudo mkdir -p /etc/docker

sudo tee /etc/docker/daemon.json << 'EOF'
{
  "registry-mirrors": [
    "https://your-private-mirror.example.com",
    "https://mirror.baidubce.com"
  ],
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "50m",
    "max-file": "3"
  }
}
EOF

最佳实践提示：在该配置文件中，我们同时加入了日志限制参数 log-driver 和 log-opts。这是生产环境必不可少的优化项，能够有效防止容器由于输出大量日志而撑爆宿主机的磁盘空间。

配置写入后，重启 Docker 服务以生效：

sudo systemctl daemon-reload
sudo systemctl restart docker

6.2 方案二：配置 Systemd 级别的全局代理（最稳健方案）

当国内所有的公开镜像站失效，或者你需要拉取一些特定海外仓库的镜像时，通过本地/局域网代理加速是唯一且最彻底的解决办法。由于 Docker 守护进程是由 systemd 管理的后台服务，因此我们在普通 shell 中配置的 export http_proxy 对其是无效的，必须针对 Docker 服务的 systemd 配置进行注入。

1. 创建 systemd 配置目录与文件

# 创建 docker.service.d 目录
sudo mkdir -p /etc/systemd/system/docker.service.d

# 写入代理配置文件
sudo tee /etc/systemd/system/docker.service.d/http-proxy.conf << 'EOF'
[Service]
Environment="HTTP_PROXY=http://<PROXY_HOST>:<PORT>"
Environment="HTTPS_PROXY=http://<PROXY_HOST>:<PORT>"
Environment="NO_PROXY=localhost,127.0.0.1,10.x.x.x,192.168.x.x,*.local,*.internal"
EOF

安全与规范注意：

请将 <PROXY_HOST> 和 <PORT> 替换为你实际网络环境中的代理服务器地址与端口（例如 192.168.x.x:7890）。

NO_PROXY 字段非常关键，它指定了哪些地址不需要经过代理。请务必将你的内网 IP 段（如 10.x.x.x、192.168.x.x）以及本地回环地址排除在外，以避免容器间通信或访问局域网私有仓库（如本地 Harbor）时请求被错误发送到代理服务器。

2. 重载并重启服务

# 重载 systemd 配置
sudo systemctl daemon-reload

# 重启 Docker 服务
sudo systemctl restart docker

3. 验证代理是否生效

执行以下命令检查 Docker 守护进程的当前配置信息：

docker info | grep -i proxy

如果输出中包含了你配置的 HTTP Proxy 和 HTTPS Proxy 地址，说明代理已成功注入。此时你便可以享受秒级拉取镜像的极速体验了。

7. 步骤六：Docker Compose V2 极速上手

在 Ubuntu 26.04 中，我们通过 docker-compose-plugin 安装的是最新的 Compose V2。相较于旧版的独立 python 脚本 docker-compose，V2 直接集成在了 Docker CLI 中，性能更优、兼容性更好，且完全支持现代容器网络规范。

7.1 Compose 编排模板示例

下面是一个用于测试本地服务的经典 docker-compose.yml 配置文件，采用桥接网络隔离，确保服务间通信安全。

version: '3.8'

services:
  web-app:
    image: nginx:alpine
    container_name: demo-nginx
    ports:
      - "8080:80"
    volumes:
      - nginx-data:/usr/share/nginx/html
    networks:
      - app-network
    restart: always

  backend-api:
    image: alpine
    container_name: demo-backend
    command: sh -c "while true; do echo -e 'HTTP/1.1 200 OK\n\n Hello from Ubuntu 26.04 Docker!' | nc -l -p 8000; done"
    networks:
      - app-network
    restart: unless-stopped

networks:
  app-network:
    driver: bridge

volumes:
  nginx-data:

7.2 常用控制命令对照表

使用 Compose V2 时，指令由 docker-compose <command> 变更为 docker compose <command>：

运维操作	旧版命令 (V1)	推荐新版命令 (V2)	说明
后台启动服务	`docker-compose up -d`	`docker compose up -d`	自动构建、创建并启动服务容器
查看运行状态	`docker-compose ps`	`docker compose ps`	列出当前项目关联的所有容器
查看实时日志	`docker-compose logs -f`	`docker compose logs -f`	追踪输出容器控制台日志
停止并清理	`docker-compose down`	`docker compose down`	停止容器并移除网络、卷和镜像
进入容器交互	`docker-compose exec <svc> sh`	`docker compose exec <svc> sh`	登录进指定的运行中服务

8. 步骤七：常见故障排查（Troubleshooting）

在 Ubuntu 26.04 上运行 Docker 时，可能会由于系统升级或底层机制变动遇到以下问题：

8.1 报错：`Permission denied` 无法连接到 `/var/run/docker.sock`

原因：当前用户未被加入 docker 组，或者组变更尚未在当前 shell 会话中生效。
解决方法：
1. 确认已执行 sudo usermod -aG docker $USER。
2. 运行 groups 命令检查输出中是否包含 docker。
3. 若无，执行 newgrp docker 或直接重新建立 SSH 会话。

8.2 容器内无法解析 DNS（域名解析失败）

原因：Ubuntu 默认启用了 systemd-resolved 服务，其本地 DNS 监听在 127.0.0.53。Docker 容器默认无法使用宿主机的回环地址进行 DNS 解析，可能会被 fallback 到公共 DNS（如 8.8.8.8），但在受限网络下公共 DNS 会失效。
解决方法：在 /etc/docker/daemon.json 中明确指定内网或公网高可用 DNS：
```
{
  "dns": ["114.114.114.114", "8.8.8.8"]
}
```
然后重启 Docker 守护进程。

8.3 报错：`Failed to register layer: ApplyLayer exit status 1 ...`

原因：通常是由于磁盘空间不足或底层文件系统类型不兼容导致驱动加载失败。Ubuntu 26.04 默认使用 ext4 或 zfs，若为 zfs 需配置合适的 storage-driver。
解决方法：通过 df -h 检查根目录空间。运行 docker info | grep "Storage Driver" 确保其使用的是推荐的 overlay2。

9. 总结

在最新的 Ubuntu 26.04 LTS 系统中，通过全新的 DEB822 源规范安装 Docker 社区版是目前最安全、最符合未来技术演进的方向。在此基础上，规范非 root 用户组操作能够最大程度降低安全风险，而正确配置 systemd 全局代理则是当前国内开发者和运维人员顺畅工作的核心。

希望本文的保姆级教程与深度原理解析能够帮助你完美避开安装过程中的所有大坑，快速在你的 Resolute Raccoon 系统上开启高效的容器化开发之旅！如有任何问题，欢迎在评论区共同探讨。