DooD (Docker out of Docker)方式はホストのDocker Daemonと通信するソケットをコンテナに共有するんですよ
volumes: - /var/run/docker.sock:/var/run/docker.sock:ro で、それ以外のDockerのCLIとかはコンテナに別途インストールするんですけど、docker.sockがrootかdockerグループにいないと読めないんですけど、rootかホストと同じGIDのdockerグループ、でしたね。私の環境では。