Τεκμηρίωση παραδείγματος: Μοντέλο Runtime για Kata και gVisor
1. Στόχος
Οι Sandbox Runtimes συγκρίνονται ως επιλογές RuntimeClass και Handler.
2. Τι γίνεται
Το παράδειγμα δημιουργεί τοπικά αποδεικτικά στοιχεία στον φάκελο work/, επικυρώνει τα Artifacts και συλλέγει προαιρετικά στοιχεία εξόδου της Runtime όταν είναι εγκατεστημένα τα εργαλεία. Μπορεί να εκτελεστεί με ασφάλεια ακόμη και όταν το containerd δεν λειτουργεί ως Service.
3. Γιατί γίνεται
Τα προβλήματα του containerd προκύπτουν συχνά από σύγχυση μεταξύ επιπέδων: το Docker Workflow, το containerd API, τα CRI, OCI, CNI και το Kubernetes έχουν διαφορετικές αρμοδιότητες. Το παράδειγμα δείχνει καθαρά το αντίστοιχο όριο.
4. Συνήθεις εντολές
containerd --version 2>/dev/null || true
ctr version 2>/dev/null || true
ctr plugins ls 2>/dev/null || true
ctr namespaces ls 2>/dev/null || true
ctr -n k8s.io images ls 2>/dev/null || true
journalctl -u containerd -n 50 --no-pager 2>/dev/null || true
5. Επαλήθευση επιτυχίας
- Τα Artifacts είναι συντακτικά έγκυρα.
- Υπάρχουν αποδεικτικά στοιχεία στον φάκελο
work/evidence/. - Δεν χρησιμοποιούνται πραγματικά Secrets.
- Το πεδίο εφαρμογής είναι σαφές: Model, τοπικός Host ή Kubernetes Node.
- Οι κίνδυνοι και η διαδικασία Cleanup είναι τεκμηριωμένοι.
6. Συνήθη σφάλματα
- Λανθασμένο Namespace στο
ctr. - Χρήση του
crictlχωρίς το αντίστοιχο Runtime Endpoint. - Registry Hosts σε λανθασμένο Host Namespace.
- TOML για διαφορετική κύρια έκδοση του containerd.
- Ρύθμιση Snapshotter ή RuntimeClass ενώ η Runtime λείπει από τον Node.
7. Θέματα ασφάλειας
Το containerd λειτουργεί πολύ κοντά στον Host. Οι αλλαγές στη Runtime μπορούν να επηρεάσουν όλα τα Pods ενός Node. Γι’ αυτό οι αλλαγές Configuration εξετάζονται πρώτα ως Models, πριν μεταφερθούν σε πραγματικούς Nodes.
8. Πρακτική χρήση
Το παράδειγμα εφαρμόζεται σε Node Runbooks, ανασκοπήσεις πλατφόρμας, Kubernetes Troubleshooting, ανάλυση περιστατικών Registry και ενίσχυση ασφάλειας.
9. Ροή Workshop
- Διαβάστε τον στόχο.
- Ανοίξτε τα Artifacts.
- Εκτελέστε το
run.sh. - Εξετάστε τα αποδεικτικά στοιχεία.
- Ονομάστε το επίπεδο Runtime που επηρεάζεται.
- Καταγράψτε τον κίνδυνο.
- Τεκμηριώστε τη διαδικασία Cleanup.
- Ελέγξτε το αποτέλεσμα μαζί με ένα δεύτερο άτομο.
10. Πίνακας ανασκόπησης
| Πεδίο ελέγχου | Απαίτηση |
|---|---|
| Επίπεδο | Κατονομάζεται ο Host, το containerd, το CRI, το OCI, το CNI ή το Kubernetes. |
| Artifact | Υπάρχει TOML, YAML, JSON, Shell Script ή Log. |
| Ασφάλεια | Δεν υπάρχουν Production Credentials ή Endpoints. |
| Λειτουργία | Περιγράφεται το Rollback ή το Cleanup. |
| Αποδεικτικά στοιχεία | Η επαλήθευση μπορεί να αναπαραχθεί. |
Επίσημες πηγές
- Τεκμηρίωση containerd: https://containerd.io/docs/2.3/getting-started/
- Ρύθμιση containerd Registry: https://github.com/containerd/containerd/blob/main/docs/hosts.md
- containerd Runtime v2: https://github.com/containerd/containerd/blob/main/docs/runtime-v2.md
- Kubernetes Container Runtimes: https://kubernetes.io/docs/setup/production-environment/container-runtimes/
- Kubernetes CRI: https://kubernetes.io/docs/concepts/containers/cri/
- OCI Image Specification: https://github.com/opencontainers/image-spec
- OCI Runtime Specification: https://github.com/opencontainers/runtime-spec
Παράρτημα παραδείγματος: αποδεικτικά στοιχεία, λειτουργία και μεταφορά
Το παράρτημα ολοκληρώνει το παράδειγμα ως εκπαιδευτικό υλικό. Περιγράφει πώς ένα τοπικό Model οδηγεί σε αξιόπιστη ανάλυση Runtime, χωρίς πρόσβαση σε Production Nodes ή Credentials.
B.1 Ορίστε το πεδίο εφαρμογής
Ο ορισμός του πεδίου εφαρμογής είναι απαραίτητος εδώ, επειδή τα containerd Labs μπορεί διαφορετικά να μετατραπούν από ασφαλή Models σε ανεξέλεγκτες αλλαγές Nodes. Η αξιολόγηση πρέπει να διευκρινίζει αν ένα Artifact χρησιμεύει μόνο για επεξήγηση, επικυρώνεται τοπικά ή θα εφαρμοζόταν σε πραγματικό Node.
| Ερώτημα | Απαίτηση |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται ο Host, ο Daemon, το Plugin, το Content, ο Snapshotter, η Runtime, το CRI, το CNI ή το Kubernetes. |
| Τι αποδεικνύεται; | Ένα αρχείο ή Output στον φάκελο work/evidence/ τεκμηριώνει το εύρημα. |
| Τι μένει ανοικτό; | Οι απαιτήσεις για πραγματικούς Nodes τεκμηριώνονται ως όριο εφαρμογής. |
Σημεία ανασκόπησης:
- Δεν υπάρχουν Production Secrets.
- Δεν υπάρχουν αλλαγές σε Sockets ή systemd χωρίς ανασκόπηση.
- Δεν υπάρχουν εξαιρέσεις Registry χωρίς αιτιολόγηση.
- Δεν συγχέονται τα
ctr,crictlκαιnerdctl. - Το Cleanup είναι εφικτό με διαγραφή του φακέλου
work/.
B.2 Επικυρώστε τα Artifacts
Η επικύρωση των Artifacts είναι απαραίτητη εδώ, επειδή τα containerd Labs μπορεί διαφορετικά να μετατραπούν από ασφαλή Models σε ανεξέλεγκτες αλλαγές Nodes. Η αξιολόγηση πρέπει να διευκρινίζει αν ένα Artifact χρησιμεύει μόνο για επεξήγηση, επικυρώνεται τοπικά ή θα εφαρμοζόταν σε πραγματικό Node.
| Ερώτημα | Απαίτηση |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται ο Host, ο Daemon, το Plugin, το Content, ο Snapshotter, η Runtime, το CRI, το CNI ή το Kubernetes. |
| Τι αποδεικνύεται; | Ένα αρχείο ή Output στον φάκελο work/evidence/ τεκμηριώνει το εύρημα. |
| Τι μένει ανοικτό; | Οι απαιτήσεις για πραγματικούς Nodes τεκμηριώνονται ως όριο εφαρμογής. |
Σημεία ανασκόπησης:
- Δεν υπάρχουν Production Secrets.
- Δεν υπάρχουν αλλαγές σε Sockets ή systemd χωρίς ανασκόπηση.
- Δεν υπάρχουν εξαιρέσεις Registry χωρίς αιτιολόγηση.
- Δεν συγχέονται τα
ctr,crictlκαιnerdctl. - Το Cleanup είναι εφικτό με διαγραφή του φακέλου
work/.
B.3 Ονομάστε το επίπεδο Runtime
Η ονομασία του επιπέδου Runtime είναι απαραίτητη εδώ, επειδή τα containerd Labs μπορεί διαφορετικά να μετατραπούν από ασφαλή Models σε ανεξέλεγκτες αλλαγές Nodes. Η αξιολόγηση πρέπει να διευκρινίζει αν ένα Artifact χρησιμεύει μόνο για επεξήγηση, επικυρώνεται τοπικά ή θα εφαρμοζόταν σε πραγματικό Node.
| Ερώτημα | Απαίτηση |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται ο Host, ο Daemon, το Plugin, το Content, ο Snapshotter, η Runtime, το CRI, το CNI ή το Kubernetes. |
| Τι αποδεικνύεται; | Ένα αρχείο ή Output στον φάκελο work/evidence/ τεκμηριώνει το εύρημα. |
| Τι μένει ανοικτό; | Οι απαιτήσεις για πραγματικούς Nodes τεκμηριώνονται ως όριο εφαρμογής. |
Σημεία ανασκόπησης:
- Δεν υπάρχουν Production Secrets.
- Δεν υπάρχουν αλλαγές σε Sockets ή systemd χωρίς ανασκόπηση.
- Δεν υπάρχουν εξαιρέσεις Registry χωρίς αιτιολόγηση.
- Δεν συγχέονται τα
ctr,crictlκαιnerdctl. - Το Cleanup είναι εφικτό με διαγραφή του φακέλου
work/.
B.4 Ελέγξτε τη σχέση με το Kubernetes
Ο έλεγχος της σχέσης με το Kubernetes είναι απαραίτητος εδώ, επειδή τα containerd Labs μπορεί διαφορετικά να μετατραπούν από ασφαλή Models σε ανεξέλεγκτες αλλαγές Nodes. Η αξιολόγηση πρέπει να διευκρινίζει αν ένα Artifact χρησιμεύει μόνο για επεξήγηση, επικυρώνεται τοπικά ή θα εφαρμοζόταν σε πραγματικό Node.
| Ερώτημα | Απαίτηση |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται ο Host, ο Daemon, το Plugin, το Content, ο Snapshotter, η Runtime, το CRI, το CNI ή το Kubernetes. |
| Τι αποδεικνύεται; | Ένα αρχείο ή Output στον φάκελο work/evidence/ τεκμηριώνει το εύρημα. |
| Τι μένει ανοικτό; | Οι απαιτήσεις για πραγματικούς Nodes τεκμηριώνονται ως όριο εφαρμογής. |
Σημεία ανασκόπησης:
- Δεν υπάρχουν Production Secrets.
- Δεν υπάρχουν αλλαγές σε Sockets ή systemd χωρίς ανασκόπηση.
- Δεν υπάρχουν εξαιρέσεις Registry χωρίς αιτιολόγηση.
- Δεν συγχέονται τα
ctr,crictlκαιnerdctl. - Το Cleanup είναι εφικτό με διαγραφή του φακέλου
work/.
B.5 Καταγράψτε τα όρια ασφάλειας
Η καταγραφή των ορίων ασφάλειας είναι απαραίτητη εδώ, επειδή τα containerd Labs μπορεί διαφορετικά να μετατραπούν από ασφαλή Models σε ανεξέλεγκτες αλλαγές Nodes. Η αξιολόγηση πρέπει να διευκρινίζει αν ένα Artifact χρησιμεύει μόνο για επεξήγηση, επικυρώνεται τοπικά ή θα εφαρμοζόταν σε πραγματικό Node.
| Ερώτημα | Απαίτηση |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται ο Host, ο Daemon, το Plugin, το Content, ο Snapshotter, η Runtime, το CRI, το CNI ή το Kubernetes. |
| Τι αποδεικνύεται; | Ένα αρχείο ή Output στον φάκελο work/evidence/ τεκμηριώνει το εύρημα. |
| Τι μένει ανοικτό; | Οι απαιτήσεις για πραγματικούς Nodes τεκμηριώνονται ως όριο εφαρμογής. |
Σημεία ανασκόπησης:
- Δεν υπάρχουν Production Secrets.
- Δεν υπάρχουν αλλαγές σε Sockets ή systemd χωρίς ανασκόπηση.
- Δεν υπάρχουν εξαιρέσεις Registry χωρίς αιτιολόγηση.
- Δεν συγχέονται τα
ctr,crictlκαιnerdctl. - Το Cleanup είναι εφικτό με διαγραφή του φακέλου
work/.
B.6 Τεκμηριώστε το Rollback
Η τεκμηρίωση του Rollback είναι απαραίτητη εδώ, επειδή τα containerd Labs μπορεί διαφορετικά να μετατραπούν από ασφαλή Models σε ανεξέλεγκτες αλλαγές Nodes. Η αξιολόγηση πρέπει να διευκρινίζει αν ένα Artifact χρησιμεύει μόνο για επεξήγηση, επικυρώνεται τοπικά ή θα εφαρμοζόταν σε πραγματικό Node.
| Ερώτημα | Απαίτηση |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται ο Host, ο Daemon, το Plugin, το Content, ο Snapshotter, η Runtime, το CRI, το CNI ή το Kubernetes. |
| Τι αποδεικνύεται; | Ένα αρχείο ή Output στον φάκελο work/evidence/ τεκμηριώνει το εύρημα. |
| Τι μένει ανοικτό; | Οι απαιτήσεις για πραγματικούς Nodes τεκμηριώνονται ως όριο εφαρμογής. |
Σημεία ανασκόπησης:
- Δεν υπάρχουν Production Secrets.
- Δεν υπάρχουν αλλαγές σε Sockets ή systemd χωρίς ανασκόπηση.
- Δεν υπάρχουν εξαιρέσεις Registry χωρίς αιτιολόγηση.
- Δεν συγχέονται τα
ctr,crictlκαιnerdctl. - Το Cleanup είναι εφικτό με διαγραφή του φακέλου
work/.
B.7 Καθαρίστε τα αποδεικτικά στοιχεία
Ο καθαρισμός των αποδεικτικών στοιχείων είναι απαραίτητος εδώ, επειδή τα containerd Labs μπορεί διαφορετικά να μετατραπούν από ασφαλή Models σε ανεξέλεγκτες αλλαγές Nodes. Η αξιολόγηση πρέπει να διευκρινίζει αν ένα Artifact χρησιμεύει μόνο για επεξήγηση, επικυρώνεται τοπικά ή θα εφαρμοζόταν σε πραγματικό Node.
| Ερώτημα | Απαίτηση |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται ο Host, ο Daemon, το Plugin, το Content, ο Snapshotter, η Runtime, το CRI, το CNI ή το Kubernetes. |
| Τι αποδεικνύεται; | Ένα αρχείο ή Output στον φάκελο work/evidence/ τεκμηριώνει το εύρημα. |
| Τι μένει ανοικτό; | Οι απαιτήσεις για πραγματικούς Nodes τεκμηριώνονται ως όριο εφαρμογής. |
Σημεία ανασκόπησης:
- Δεν υπάρχουν Production Secrets.
- Δεν υπάρχουν αλλαγές σε Sockets ή systemd χωρίς ανασκόπηση.
- Δεν υπάρχουν εξαιρέσεις Registry χωρίς αιτιολόγηση.
- Δεν συγχέονται τα
ctr,crictlκαιnerdctl. - Το Cleanup είναι εφικτό με διαγραφή του φακέλου
work/.
B.8 Περιορίστε τη μεταφορά
Ο περιορισμός της μεταφοράς είναι απαραίτητος εδώ, επειδή τα containerd Labs μπορεί διαφορετικά να μετατραπούν από ασφαλή Models σε ανεξέλεγκτες αλλαγές Nodes. Η αξιολόγηση πρέπει να διευκρινίζει αν ένα Artifact χρησιμεύει μόνο για επεξήγηση, επικυρώνεται τοπικά ή θα εφαρμοζόταν σε πραγματικό Node.
| Ερώτημα | Απαίτηση |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται ο Host, ο Daemon, το Plugin, το Content, ο Snapshotter, η Runtime, το CRI, το CNI ή το Kubernetes. |
| Τι αποδεικνύεται; | Ένα αρχείο ή Output στον φάκελο work/evidence/ τεκμηριώνει το εύρημα. |
| Τι μένει ανοικτό; | Οι απαιτήσεις για πραγματικούς Nodes τεκμηριώνονται ως όριο εφαρμογής. |
Σημεία ανασκόπησης:
- Δεν υπάρχουν Production Secrets.
- Δεν υπάρχουν αλλαγές σε Sockets ή systemd χωρίς ανασκόπηση.
- Δεν υπάρχουν εξαιρέσεις Registry χωρίς αιτιολόγηση.
- Δεν συγχέονται τα
ctr,crictlκαιnerdctl. - Το Cleanup είναι εφικτό με διαγραφή του φακέλου
work/.
B.9 Ολοκληρώστε την ανασκόπηση
Η ολοκλήρωση της ανασκόπησης είναι απαραίτητη εδώ, επειδή τα containerd Labs μπορεί διαφορετικά να μετατραπούν από ασφαλή Models σε ανεξέλεγκτες αλλαγές Nodes. Η αξιολόγηση πρέπει να διευκρινίζει αν ένα Artifact χρησιμεύει μόνο για επεξήγηση, επικυρώνεται τοπικά ή θα εφαρμοζόταν σε πραγματικό Node.
| Ερώτημα | Απαίτηση |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται ο Host, ο Daemon, το Plugin, το Content, ο Snapshotter, η Runtime, το CRI, το CNI ή το Kubernetes. |
| Τι αποδεικνύεται; | Ένα αρχείο ή Output στον φάκελο work/evidence/ τεκμηριώνει το εύρημα. |
| Τι μένει ανοικτό; | Οι απαιτήσεις για πραγματικούς Nodes τεκμηριώνονται ως όριο εφαρμογής. |
Σημεία ανασκόπησης:
- Δεν υπάρχουν Production Secrets.
- Δεν υπάρχουν αλλαγές σε Sockets ή systemd χωρίς ανασκόπηση.
- Δεν υπάρχουν εξαιρέσεις Registry χωρίς αιτιολόγηση.
- Δεν συγχέονται τα
ctr,crictlκαιnerdctl. - Το Cleanup είναι εφικτό με διαγραφή του φακέλου
work/.
B.10 Εκτελέστε το Cleanup
Η εκτέλεση του Cleanup είναι απαραίτητη εδώ, επειδή τα containerd Labs μπορεί διαφορετικά να μετατραπούν από ασφαλή Models σε ανεξέλεγκτες αλλαγές Nodes. Η αξιολόγηση πρέπει να διευκρινίζει αν ένα Artifact χρησιμεύει μόνο για επεξήγηση, επικυρώνεται τοπικά ή θα εφαρμοζόταν σε πραγματικό Node.
| Ερώτημα | Απαίτηση |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται ο Host, ο Daemon, το Plugin, το Content, ο Snapshotter, η Runtime, το CRI, το CNI ή το Kubernetes. |
| Τι αποδεικνύεται; | Ένα αρχείο ή Output στον φάκελο work/evidence/ τεκμηριώνει το εύρημα. |
| Τι μένει ανοικτό; | Οι απαιτήσεις για πραγματικούς Nodes τεκμηριώνονται ως όριο εφαρμογής. |
Σημεία ανασκόπησης:
- Δεν υπάρχουν Production Secrets.
- Δεν υπάρχουν αλλαγές σε Sockets ή systemd χωρίς ανασκόπηση.
- Δεν υπάρχουν εξαιρέσεις Registry χωρίς αιτιολόγηση.
- Δεν συγχέονται τα
ctr,crictlκαιnerdctl. - Το Cleanup είναι εφικτό με διαγραφή του φακέλου
work/.
B.11 Ολοκλήρωση
Ένα παράδειγμα ολοκληρώνεται όταν το Script εκτελείται επιτυχώς, όλα τα Artifacts του Model είναι συντακτικά έγκυρα, κατονομάζεται το επίπεδο Runtime που επηρεάζεται και τα αποδεικτικά στοιχεία δεν περιέχουν εμπιστευτικά δεδομένα.