1. containerd components

Εξηγήστε το θέμα «containerd components» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

2. OCI image model

Εξηγήστε το θέμα «OCI image model» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

3. content store

Εξηγήστε το θέμα «content store» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

4. snapshotter

Εξηγήστε το θέμα «snapshotter» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

5. container and task

Εξηγήστε το θέμα «container and task» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

6. namespace confusion

Εξηγήστε το θέμα «namespace confusion» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

7. CRI and Kubernetes

Εξηγήστε το θέμα «CRI and Kubernetes» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

8. registry configuration

Εξηγήστε το θέμα «registry configuration» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

9. CNI handoff

Εξηγήστε το θέμα «CNI handoff» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

10. runtime v2 and shim

Εξηγήστε το θέμα «runtime v2 and shim» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

11. cgroups and systemd

Εξηγήστε το θέμα «cgroups and systemd» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

12. rootless

Εξηγήστε το θέμα «rootless» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

13. RuntimeClass

Εξηγήστε το θέμα «RuntimeClass» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

14. image verification

Εξηγήστε το θέμα «image verification» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

15. garbage collection

Εξηγήστε το θέμα «garbage collection» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

16. upgrade

Εξηγήστε το θέμα «upgrade» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

17. incident response

Εξηγήστε το θέμα «incident response» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

18. evidence

Εξηγήστε το θέμα «evidence» στο πλαίσιο του containerd. Αναφερθείτε στις επίσημες έννοιες, κατονομάστε κατάλληλες εντολές ή artifacts και περιγράψτε μια ρεαλιστική αστοχία.

Αναμενόμενη υποβολή: σύντομη απάντηση, μία αναφορά σε evidence και ένα όριο ασφάλειας ή λειτουργίας.

Επίσημες πηγές και όρια

• Τεκμηρίωση containerd, getting started και configuration: https://containerd.io/docs/2.3/getting-started/
• containerd registry hosts.toml: https://github.com/containerd/containerd/blob/main/docs/hosts.md
• containerd runtime v2 και μοντέλο shim: https://github.com/containerd/containerd/blob/main/docs/runtime-v2.md
• Kubernetes container runtimes: https://kubernetes.io/docs/setup/production-environment/container-runtimes/
• Kubernetes Container Runtime Interface: https://kubernetes.io/docs/concepts/containers/cri/
• OCI Image Specification: https://github.com/opencontainers/image-spec
• OCI Runtime Specification: https://github.com/opencontainers/runtime-spec
• Open Container Initiative: https://opencontainers.org/

Το workshop δεν εισάγει νέο containerd API. Συνδέει τις επίσημες έννοιες με labs, ερωτήσεις review και λειτουργικές ροές. Όταν ένα αρχείο περιγράφει μοντέλο, αυτό επισημαίνεται ρητά ως μοντέλο ή lab artifact.

Πρακτικό παράρτημα: Evidence containerd για αυτή την αξιολόγηση

Το παράρτημα συνδέει το αρχείο με αναπαραγώγιμο runtime evidence. Κάθε δήλωση πρέπει να συνδέεται με συγκεκριμένο επίπεδο, artifact, επίπτωση και λειτουργική απόφαση.

A.1 Μοντέλο επιπέδων

Το containerd πρέπει να κατανοείται ως επίπεδο runtime: host, systemd, daemon του containerd, plugins, content store, snapshotter, runtime v2, shim, runc, CRI, CNI και Kubernetes έχουν διαφορετικές ευθύνες.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.2 Daemon και socket

Ο daemon του containerd προσφέρει gRPC API μέσω Unix socket. Αλλαγές στο socket, στα permissions ή στο service καθορίζουν ποια εργαλεία και orchestrators μπορούν να επικοινωνούν με το runtime.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.3 Σύστημα plugins

Το containerd φορτώνει λειτουργίες μέσω plugins. Τα CRI, snapshotters, diff service, content service, runtime task service και image verification πρέπει να αξιολογούνται με βάση τα ενεργά plugins.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.4 Content store

Το content store διατηρεί OCI περιεχόμενο με βάση το digest. Τα tags είναι ονόματα, ενώ τα digests είναι διευθύνσεις περιεχομένου. Αυτή η διάκριση είναι βασική για αναπαραγωγιμότητα και supply-chain review.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.5 Snapshotter

Οι snapshotters δημιουργούν χρησιμοποιήσιμα root filesystems από image layers. Το OverlayFS είναι συνηθισμένη προεπιλογή, ενώ remote snapshotters όπως Stargz ή Nydus αλλάζουν τον χρόνο εκκίνησης, τη συμπεριφορά IO και τις πιθανές αστοχίες.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.6 Container και task

Το container είναι αντικείμενο metadata· το task είναι η εκτελούμενη διεργασία. Πολλά λάθη στο debugging προκύπτουν όταν συγχέονται αυτά τα δύο επίπεδα.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.7 Runtime v2 και shim

Το containerd ξεκινά containers μέσω runtime-v2 shims. Το shim διατηρεί IO, exit status και σχέση διεργασιών και αποσυνδέει εν μέρει τα ενεργά tasks από τον daemon του containerd.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.8 OCI Runtime

Το runc ή εναλλακτικά runtimes υλοποιούν το OCI Runtime Specification. Ξεκινούν απομονωμένη διεργασία με namespaces, mounts, cgroups και security profiles.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.9 CRI

Το Kubernetes δεν επικοινωνεί απευθείας με το ctr· χρησιμοποιεί το CRI. Το crictl είναι συχνά καταλληλότερο για διάγνωση node, ενώ το ctr λειτουργεί βαθύτερα μέσα στο containerd.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.10 CNI

Το containerd δεν αποτελεί ολόκληρο το δίκτυο Kubernetes. Κατά την εκκίνηση Pod, το επίπεδο CRI καλεί CNI plugins που ρυθμίζουν network namespace, IPAM, routes και port mapping.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.11 Registry και resolver

Η συμπεριφορά registry ρυθμίζεται μέσω resolver, host namespace και hosts.toml. Mirror, TLS, authentication και capabilities πρέπει να εξετάζονται χωριστά.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.12 Cgroups και systemd

Σε hosts με systemd, kubelet και runtime πρέπει να χρησιμοποιούν συνεπές μοντέλο systemd cgroup. Διαφορετικοί cgroup drivers προκαλούν προβλήματα node που είναι δύσκολο να διαγνωστούν.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.13 Namespaces

Τα containerd namespaces είναι namespaces των metadata, όχι Linux namespaces. Το Kubernetes χρησιμοποιεί συνήθως k8s.io· πειράματα με ctr πρέπει να χρησιμοποιούν αποκλειστικά namespaces.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.14 Rootless

Το rootless containerd μειώνει ορισμένους κινδύνους για τον host, αλλά έχει σαφή όρια σε networking, cgroups, storage και ενσωμάτωση Kubernetes. Το rootless είναι λειτουργικό μοντέλο, όχι γενική υπόσχεση ασφάλειας.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.15 Εμπιστοσύνη images

Signatures, verification, SBOM και vulnerability scanning είναι έλεγχοι supply chain. Πρέπει να ενσωματώνονται πριν από το pull, πριν από το start ή μέσω admission και policy μηχανισμών.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.16 Security profiles

Seccomp, AppArmor, SELinux, capabilities και RuntimeClass περιορίζουν τη συμπεριφορά containers. Αυτοί οι έλεγχοι αλληλοσυμπληρώνονται, αλλά δεν αντικαθιστούν ασφαλή images ή host hardening.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.17 Garbage collection

Το garbage collection δεν πρέπει να εξετάζει μόνο τον ελεύθερο χώρο δίσκου. Content, snapshots, images, containers, tasks και leases πρέπει να αξιολογούνται μαζί, ώστε να μη διαταραχθούν ενεργά workloads.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.18 Observability

Μια καλή διάγνωση runtime συγκεντρώνει versions, κατάσταση service, logs, events, plugins, namespaces, αποτυχίες registry, κατάσταση snapshotter και CRI output σε ένα πακέτο evidence.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.19 Upgrade και rollback

Τα upgrades του runtime επηρεάζουν ενεργά workloads και Kubernetes nodes. Μια ασφαλής διαδρομή περιλαμβάνει backup, drain, δοκιμή version, restart service, smoke test, rollback και review μετά την αλλαγή.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.20 Incident response

Registry outage, TLS errors, pull rate limits, κατεστραμμένα snapshots και runtime failures χρειάζονται ξεχωριστά runbooks. Ένα incident ολοκληρώνεται όταν τεκμηριώνονται αιτία, workaround, διόρθωση και πρόληψη.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.21 Μοντέλο και πραγματικότητα

Πολλά παραδείγματα είναι ασφαλή μοντέλα. Η μεταφορά σε πραγματικά nodes απαιτεί πρόσθετο review για distribution, containerd version, Kubernetes version, CNI, registry, security policy και διαδικασία αλλαγών.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.22 Evidence

Το evidence περιλαμβάνει command output, configuration, logs, hashes, versions και σημειώσεις review. Δεν περιλαμβάνει production secrets, tokens, client certificates ή pull credentials.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.23 Performance

Η απόδοση εξαρτάται από snapshotter, registry latency, δομή layers, deduplication, filesystem, IO, CPU, cgroups και remote snapshotters. Κάθε βελτιστοποίηση χρειάζεται μετρήσιμο στόχο.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.24 Μεταφορά σε production

Η μεταφορά σε production δεν σημαίνει αντιγραφή lab files. Χρειάζεται υπεύθυνος, change ticket, rollback, monitoring, έγκριση ασφάλειας, maintenance window και τεκμηριωμένα κριτήρια αποδοχής.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.25 Ελάχιστο evidence ολοκλήρωσης

• Τεκμηριώνονται οι versions των containerd, ctr και runc όπου είναι εγκατεστημένα.
• Το scope περιγράφεται σαφώς ως μοντέλο, τοπικός host ή Kubernetes node.
• Τα artifacts TOML, YAML, JSON και shell έχουν ελεγχθεί συντακτικά.
• Οι αλλαγές σε registry, runtime, snapshotter ή CRI συνοδεύονται από σημείωση rollback.
• Το evidence δεν περιέχει production credentials.
• Γίνεται αναφορά στις επίσημες πηγές χωρίς να αντικαθίστανται από επινοημένες παραδοχές.