Επίσημες πιστοποιήσεις και εξετάσεις: containerd
1. Όρια
Αυτό το workshop δεν απονέμει επίσημο πιστοποιητικό containerd. Οι γνώσεις containerd είναι χρήσιμες για τη λειτουργία Kubernetes nodes, τη διάγνωση CRI, το runtime hardening και την εργασία σε cloud-native πλατφόρμες.
2. Σχετικά πεδία εξέτασης
- Container Runtime Interface και runtime endpoint του kubelet
- Image pull, registry, TLS και authentication
- Pod sandbox, CNI και διάγνωση node
- RuntimeClass, sandbox runtime και security context
- Troubleshooting node με logs, events και εργαλεία CRI
3. Έλεγχος επίσημης πιστοποίησης
Αν ένας πάροχος εκπαίδευσης ή μια πιστοποίηση αναφέρει το containerd, ελέγξτε την τρέχουσα επίσημη σελίδα της εξέτασης. Αυτό το έγγραφο δεν αντικαθιστά την περιγραφή εξέτασης ή την εγγραφή στον πάροχο.
4. Προετοιμασία
Ολοκληρώστε τα επίπεδα του workshop, τα παραδείγματα και τις αξιολογήσεις. Συγκεντρώστε evidence, εξηγήστε πιθανές αστοχίες και εξασκηθείτε στον διαχωρισμό των Docker workflows από containerd, CRI, OCI και Kubernetes.
5. Evidence
certification-prep/
runtime-notes.md
cri-notes.md
registry-notes.md
troubleshooting-notes.md
security-notes.md
Επίσημες πηγές και όρια
- Τεκμηρίωση containerd, getting started και configuration: https://containerd.io/docs/2.3/getting-started/
- containerd registry
hosts.toml: https://github.com/containerd/containerd/blob/main/docs/hosts.md - containerd runtime v2 και μοντέλο shim: https://github.com/containerd/containerd/blob/main/docs/runtime-v2.md
- Kubernetes container runtimes: https://kubernetes.io/docs/setup/production-environment/container-runtimes/
- Kubernetes Container Runtime Interface: https://kubernetes.io/docs/concepts/containers/cri/
- OCI Image Specification: https://github.com/opencontainers/image-spec
- OCI Runtime Specification: https://github.com/opencontainers/runtime-spec
- Open Container Initiative: https://opencontainers.org/
Το workshop δεν εισάγει νέο containerd API. Συνδέει τις επίσημες έννοιες με labs, ερωτήσεις review και λειτουργικές ροές. Όταν ένα αρχείο περιγράφει μοντέλο, αυτό επισημαίνεται ρητά ως μοντέλο ή lab artifact.
Πρακτικό παράρτημα: Evidence containerd για αυτή την αξιολόγηση
Το παράρτημα συνδέει το αρχείο με αναπαραγώγιμο runtime evidence. Κάθε δήλωση πρέπει να συνδέεται με συγκεκριμένο επίπεδο, artifact, επίπτωση και λειτουργική απόφαση.
A.1 Μοντέλο επιπέδων
Το containerd πρέπει να κατανοείται ως επίπεδο runtime: host, systemd, daemon του containerd, plugins, content store, snapshotter, runtime v2, shim, runc, CRI, CNI και Kubernetes έχουν διαφορετικές ευθύνες.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Μοντέλο επιπέδων». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.2 Daemon και socket
Ο daemon του containerd προσφέρει gRPC API μέσω Unix socket. Αλλαγές στο socket, στα permissions ή στο service καθορίζουν ποια εργαλεία και orchestrators μπορούν να επικοινωνούν με το runtime.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Daemon και socket». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.3 Σύστημα plugins
Το containerd φορτώνει λειτουργίες μέσω plugins. Τα CRI, snapshotters, diff service, content service, runtime task service και image verification πρέπει να αξιολογούνται με βάση τα ενεργά plugins.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Σύστημα plugins». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.4 Content store
Το content store διατηρεί OCI περιεχόμενο με βάση το digest. Τα tags είναι ονόματα, ενώ τα digests είναι διευθύνσεις περιεχομένου. Αυτή η διάκριση είναι βασική για αναπαραγωγιμότητα και supply-chain review.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Content store». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.5 Snapshotter
Οι snapshotters δημιουργούν χρησιμοποιήσιμα root filesystems από image layers. Το OverlayFS είναι συνηθισμένη προεπιλογή, ενώ remote snapshotters όπως Stargz ή Nydus αλλάζουν τον χρόνο εκκίνησης, τη συμπεριφορά IO και τις πιθανές αστοχίες.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Snapshotter». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.6 Container και task
Το container είναι αντικείμενο metadata· το task είναι η εκτελούμενη διεργασία. Πολλά λάθη στο debugging προκύπτουν όταν συγχέονται αυτά τα δύο επίπεδα.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Container και task». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.7 Runtime v2 και shim
Το containerd ξεκινά containers μέσω runtime-v2 shims. Το shim διατηρεί IO, exit status και σχέση διεργασιών και αποσυνδέει εν μέρει τα ενεργά tasks από τον daemon του containerd.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Runtime v2 και shim». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.8 OCI Runtime
Το runc ή εναλλακτικά runtimes υλοποιούν το OCI Runtime Specification. Ξεκινούν απομονωμένη διεργασία με namespaces, mounts, cgroups και security profiles.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «OCI Runtime». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.9 CRI
Το Kubernetes δεν επικοινωνεί απευθείας με το ctr· χρησιμοποιεί το CRI. Το crictl είναι συχνά καταλληλότερο για διάγνωση node, ενώ το ctr λειτουργεί βαθύτερα μέσα στο containerd.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «CRI». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.10 CNI
Το containerd δεν αποτελεί ολόκληρο το δίκτυο Kubernetes. Κατά την εκκίνηση Pod, το επίπεδο CRI καλεί CNI plugins που ρυθμίζουν network namespace, IPAM, routes και port mapping.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «CNI». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.11 Registry και resolver
Η συμπεριφορά registry ρυθμίζεται μέσω resolver, host namespace και hosts.toml. Mirror, TLS, authentication και capabilities πρέπει να εξετάζονται χωριστά.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Registry και resolver». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.12 Cgroups και systemd
Σε hosts με systemd, kubelet και runtime πρέπει να χρησιμοποιούν συνεπές μοντέλο systemd cgroup. Διαφορετικοί cgroup drivers προκαλούν προβλήματα node που είναι δύσκολο να διαγνωστούν.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Cgroups και systemd». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.13 Namespaces
Τα containerd namespaces είναι namespaces των metadata, όχι Linux namespaces. Το Kubernetes χρησιμοποιεί συνήθως k8s.io· πειράματα με ctr πρέπει να χρησιμοποιούν αποκλειστικά namespaces.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Namespaces». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.14 Rootless
Το rootless containerd μειώνει ορισμένους κινδύνους για τον host, αλλά έχει σαφή όρια σε networking, cgroups, storage και ενσωμάτωση Kubernetes. Το rootless είναι λειτουργικό μοντέλο, όχι γενική υπόσχεση ασφάλειας.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Rootless». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.15 Εμπιστοσύνη images
Signatures, verification, SBOM και vulnerability scanning είναι έλεγχοι supply chain. Πρέπει να ενσωματώνονται πριν από το pull, πριν από το start ή μέσω admission και policy μηχανισμών.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Εμπιστοσύνη images». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.16 Security profiles
Seccomp, AppArmor, SELinux, capabilities και RuntimeClass περιορίζουν τη συμπεριφορά containers. Αυτοί οι έλεγχοι αλληλοσυμπληρώνονται, αλλά δεν αντικαθιστούν ασφαλή images ή host hardening.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Security profiles». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.17 Garbage collection
Το garbage collection δεν πρέπει να εξετάζει μόνο τον ελεύθερο χώρο δίσκου. Content, snapshots, images, containers, tasks και leases πρέπει να αξιολογούνται μαζί, ώστε να μη διαταραχθούν ενεργά workloads.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Garbage collection». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.18 Observability
Μια καλή διάγνωση runtime συγκεντρώνει versions, κατάσταση service, logs, events, plugins, namespaces, αποτυχίες registry, κατάσταση snapshotter και CRI output σε ένα πακέτο evidence.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Observability». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.19 Upgrade και rollback
Τα upgrades του runtime επηρεάζουν ενεργά workloads και Kubernetes nodes. Μια ασφαλής διαδρομή περιλαμβάνει backup, drain, δοκιμή version, restart service, smoke test, rollback και review μετά την αλλαγή.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Upgrade και rollback». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.20 Incident response
Registry outage, TLS errors, pull rate limits, κατεστραμμένα snapshots και runtime failures χρειάζονται ξεχωριστά runbooks. Ένα incident ολοκληρώνεται όταν τεκμηριώνονται αιτία, workaround, διόρθωση και πρόληψη.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Incident response». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.21 Μοντέλο και πραγματικότητα
Πολλά παραδείγματα είναι ασφαλή μοντέλα. Η μεταφορά σε πραγματικά nodes απαιτεί πρόσθετο review για distribution, containerd version, Kubernetes version, CNI, registry, security policy και διαδικασία αλλαγών.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Μοντέλο και πραγματικότητα». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.22 Evidence
Το evidence περιλαμβάνει command output, configuration, logs, hashes, versions και σημειώσεις review. Δεν περιλαμβάνει production secrets, tokens, client certificates ή pull credentials.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Evidence». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.23 Performance
Η απόδοση εξαρτάται από snapshotter, registry latency, δομή layers, deduplication, filesystem, IO, CPU, cgroups και remote snapshotters. Κάθε βελτιστοποίηση χρειάζεται μετρήσιμο στόχο.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Performance». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.24 Μεταφορά σε production
Η μεταφορά σε production δεν σημαίνει αντιγραφή lab files. Χρειάζεται υπεύθυνος, change ticket, rollback, monitoring, έγκριση ασφάλειας, maintenance window και τεκμηριωμένα κριτήρια αποδοχής.
Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Context | Το 05-official-certificates-containerd-EL.md συνδέεται με το θέμα «Μεταφορά σε production». |
| Evidence | Υπάρχει command output, TOML, YAML, JSON, log ή runbook. |
| Λειτουργική επίπτωση | Περιγράφεται η επίδραση σε Pods, images, snapshots, registry, δίκτυο ή node. |
| Επίπτωση στην ασφάλεια | Ελέγχονται secrets, privileges, runtime permissions και όρια host. |
Συγκεκριμένες ερωτήσεις review:
- Ποιο επίπεδο runtime επηρεάζεται;
- Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
- Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
- Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
- Ποια δυνατότητα rollback υπάρχει;
- Ποιο evidence δεν πρέπει να περιέχει secrets;
- Ποιες versions πρέπει να κατονομαστούν;
- Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;
Τυπικό evidence:
evidence/
tooling.txt
runtime-layer.md
config-or-model.txt
risk-note.md
rollback.md
A.25 Ελάχιστο evidence ολοκλήρωσης
- Τεκμηριώνονται οι versions των containerd, ctr και runc όπου είναι εγκατεστημένα.
- Το scope περιγράφεται σαφώς ως μοντέλο, τοπικός host ή Kubernetes node.
- Τα artifacts TOML, YAML, JSON και shell έχουν ελεγχθεί συντακτικά.
- Οι αλλαγές σε registry, runtime, snapshotter ή CRI συνοδεύονται από σημείωση rollback.
- Το evidence δεν περιέχει production credentials.
- Γίνεται αναφορά στις επίσημες πηγές χωρίς να αντικαθίστανται από επινοημένες παραδοχές.