DooDだと /var/run/docker.sock 触れる = それがあるなら --privileged な docker コンテナも作れるのでむしろ DinD のほうがちょっと安全…?