1. Καταγραφή κατάστασης runtime

Ο στόχος είναι να εκτελέσετε το θέμα «Καταγραφή κατάστασης runtime» ως ανιχνεύσιμη δραστηριότητα containerd. Η λύση πρέπει να περιλαμβάνει evidence και να διαχωρίζει καθαρά host, containerd, CRI, OCI και Kubernetes.

Εργασία

1. Διαβάστε το αντίστοιχο αρχείο αναφοράς στο docs/.
2. Επιλέξτε σχετικό παράδειγμα από το examples/.
3. Εκτελέστε μόνο ασφαλή τοπικά βήματα ή βήματα βασισμένα σε μοντέλο.
4. Συγκεντρώστε evidence κάτω από το submission/evidence/.
5. Γράψτε σύντομη σημείωση για κινδύνους και cleanup.

Κριτήρια αποδοχής

• Οι εντολές ή τα artifacts μοντέλου είναι αναπαραγώγιμα.
• Δεν χρησιμοποιούνται production endpoints, credentials ή nodes.
• Το πλαίσιο namespace, snapshotter, runtime ή CRI είναι ρητό.
• Οι αστοχίες και τα όρια τεκμηριώνονται.

Υποβολή

submission/
  evidence/
  notes.md
  cleanup.md

2. Εξέταση configuration

Ο στόχος είναι να εκτελέσετε το θέμα «Εξέταση configuration» ως ανιχνεύσιμη δραστηριότητα containerd. Η λύση πρέπει να περιλαμβάνει evidence και να διαχωρίζει καθαρά host, containerd, CRI, OCI και Kubernetes.

Εργασία

1. Διαβάστε το αντίστοιχο αρχείο αναφοράς στο docs/.
2. Επιλέξτε σχετικό παράδειγμα από το examples/.
3. Εκτελέστε μόνο ασφαλή τοπικά βήματα ή βήματα βασισμένα σε μοντέλο.
4. Συγκεντρώστε evidence κάτω από το submission/evidence/.
5. Γράψτε σύντομη σημείωση για κινδύνους και cleanup.

Κριτήρια αποδοχής

• Οι εντολές ή τα artifacts μοντέλου είναι αναπαραγώγιμα.
• Δεν χρησιμοποιούνται production endpoints, credentials ή nodes.
• Το πλαίσιο namespace, snapshotter, runtime ή CRI είναι ρητό.
• Οι αστοχίες και τα όρια τεκμηριώνονται.

Υποβολή

submission/
  evidence/
  notes.md
  cleanup.md

3. Εξήγηση σύγχυσης namespaces

Ο στόχος είναι να εκτελέσετε το θέμα «Εξήγηση σύγχυσης namespaces» ως ανιχνεύσιμη δραστηριότητα containerd. Η λύση πρέπει να περιλαμβάνει evidence και να διαχωρίζει καθαρά host, containerd, CRI, OCI και Kubernetes.

Εργασία

1. Διαβάστε το αντίστοιχο αρχείο αναφοράς στο docs/.
2. Επιλέξτε σχετικό παράδειγμα από το examples/.
3. Εκτελέστε μόνο ασφαλή τοπικά βήματα ή βήματα βασισμένα σε μοντέλο.
4. Συγκεντρώστε evidence κάτω από το submission/evidence/.
5. Γράψτε σύντομη σημείωση για κινδύνους και cleanup.

Κριτήρια αποδοχής

• Οι εντολές ή τα artifacts μοντέλου είναι αναπαραγώγιμα.
• Δεν χρησιμοποιούνται production endpoints, credentials ή nodes.
• Το πλαίσιο namespace, snapshotter, runtime ή CRI είναι ρητό.
• Οι αστοχίες και τα όρια τεκμηριώνονται.

Υποβολή

submission/
  evidence/
  notes.md
  cleanup.md

4. Έλεγχος μοντέλου images και content

Ο στόχος είναι να εκτελέσετε το θέμα «Έλεγχος μοντέλου images και content» ως ανιχνεύσιμη δραστηριότητα containerd. Η λύση πρέπει να περιλαμβάνει evidence και να διαχωρίζει καθαρά host, containerd, CRI, OCI και Kubernetes.

Εργασία

1. Διαβάστε το αντίστοιχο αρχείο αναφοράς στο docs/.
2. Επιλέξτε σχετικό παράδειγμα από το examples/.
3. Εκτελέστε μόνο ασφαλή τοπικά βήματα ή βήματα βασισμένα σε μοντέλο.
4. Συγκεντρώστε evidence κάτω από το submission/evidence/.
5. Γράψτε σύντομη σημείωση για κινδύνους και cleanup.

Κριτήρια αποδοχής

• Οι εντολές ή τα artifacts μοντέλου είναι αναπαραγώγιμα.
• Δεν χρησιμοποιούνται production endpoints, credentials ή nodes.
• Το πλαίσιο namespace, snapshotter, runtime ή CRI είναι ρητό.
• Οι αστοχίες και τα όρια τεκμηριώνονται.

Υποβολή

submission/
  evidence/
  notes.md
  cleanup.md

5. Αξιολόγηση κινδύνου snapshotter

Ο στόχος είναι να εκτελέσετε το θέμα «Αξιολόγηση κινδύνου snapshotter» ως ανιχνεύσιμη δραστηριότητα containerd. Η λύση πρέπει να περιλαμβάνει evidence και να διαχωρίζει καθαρά host, containerd, CRI, OCI και Kubernetes.

Εργασία

1. Διαβάστε το αντίστοιχο αρχείο αναφοράς στο docs/.
2. Επιλέξτε σχετικό παράδειγμα από το examples/.
3. Εκτελέστε μόνο ασφαλή τοπικά βήματα ή βήματα βασισμένα σε μοντέλο.
4. Συγκεντρώστε evidence κάτω από το submission/evidence/.
5. Γράψτε σύντομη σημείωση για κινδύνους και cleanup.

Κριτήρια αποδοχής

• Οι εντολές ή τα artifacts μοντέλου είναι αναπαραγώγιμα.
• Δεν χρησιμοποιούνται production endpoints, credentials ή nodes.
• Το πλαίσιο namespace, snapshotter, runtime ή CRI είναι ρητό.
• Οι αστοχίες και τα όρια τεκμηριώνονται.

Υποβολή

submission/
  evidence/
  notes.md
  cleanup.md

6. Ανάλυση αστοχίας CRI

Ο στόχος είναι να εκτελέσετε το θέμα «Ανάλυση αστοχίας CRI» ως ανιχνεύσιμη δραστηριότητα containerd. Η λύση πρέπει να περιλαμβάνει evidence και να διαχωρίζει καθαρά host, containerd, CRI, OCI και Kubernetes.

Εργασία

1. Διαβάστε το αντίστοιχο αρχείο αναφοράς στο docs/.
2. Επιλέξτε σχετικό παράδειγμα από το examples/.
3. Εκτελέστε μόνο ασφαλή τοπικά βήματα ή βήματα βασισμένα σε μοντέλο.
4. Συγκεντρώστε evidence κάτω από το submission/evidence/.
5. Γράψτε σύντομη σημείωση για κινδύνους και cleanup.

Κριτήρια αποδοχής

• Οι εντολές ή τα artifacts μοντέλου είναι αναπαραγώγιμα.
• Δεν χρησιμοποιούνται production endpoints, credentials ή nodes.
• Το πλαίσιο namespace, snapshotter, runtime ή CRI είναι ρητό.
• Οι αστοχίες και τα όρια τεκμηριώνονται.

Υποβολή

submission/
  evidence/
  notes.md
  cleanup.md

7. Review του registry hosts.toml

Ο στόχος είναι να εκτελέσετε το θέμα «Review του registry hosts.toml» ως ανιχνεύσιμη δραστηριότητα containerd. Η λύση πρέπει να περιλαμβάνει evidence και να διαχωρίζει καθαρά host, containerd, CRI, OCI και Kubernetes.

Εργασία

1. Διαβάστε το αντίστοιχο αρχείο αναφοράς στο docs/.
2. Επιλέξτε σχετικό παράδειγμα από το examples/.
3. Εκτελέστε μόνο ασφαλή τοπικά βήματα ή βήματα βασισμένα σε μοντέλο.
4. Συγκεντρώστε evidence κάτω από το submission/evidence/.
5. Γράψτε σύντομη σημείωση για κινδύνους και cleanup.

Κριτήρια αποδοχής

• Οι εντολές ή τα artifacts μοντέλου είναι αναπαραγώγιμα.
• Δεν χρησιμοποιούνται production endpoints, credentials ή nodes.
• Το πλαίσιο namespace, snapshotter, runtime ή CRI είναι ρητό.
• Οι αστοχίες και τα όρια τεκμηριώνονται.

Υποβολή

submission/
  evidence/
  notes.md
  cleanup.md

8. Τεκμηρίωση απόφασης ασφάλειας

Ο στόχος είναι να εκτελέσετε το θέμα «Τεκμηρίωση απόφασης ασφάλειας» ως ανιχνεύσιμη δραστηριότητα containerd. Η λύση πρέπει να περιλαμβάνει evidence και να διαχωρίζει καθαρά host, containerd, CRI, OCI και Kubernetes.

Εργασία

1. Διαβάστε το αντίστοιχο αρχείο αναφοράς στο docs/.
2. Επιλέξτε σχετικό παράδειγμα από το examples/.
3. Εκτελέστε μόνο ασφαλή τοπικά βήματα ή βήματα βασισμένα σε μοντέλο.
4. Συγκεντρώστε evidence κάτω από το submission/evidence/.
5. Γράψτε σύντομη σημείωση για κινδύνους και cleanup.

Κριτήρια αποδοχής

• Οι εντολές ή τα artifacts μοντέλου είναι αναπαραγώγιμα.
• Δεν χρησιμοποιούνται production endpoints, credentials ή nodes.
• Το πλαίσιο namespace, snapshotter, runtime ή CRI είναι ρητό.
• Οι αστοχίες και τα όρια τεκμηριώνονται.

Υποβολή

submission/
  evidence/
  notes.md
  cleanup.md

9. Δημιουργία πακέτου evidence

Ο στόχος είναι να εκτελέσετε το θέμα «Δημιουργία πακέτου evidence» ως ανιχνεύσιμη δραστηριότητα containerd. Η λύση πρέπει να περιλαμβάνει evidence και να διαχωρίζει καθαρά host, containerd, CRI, OCI και Kubernetes.

Εργασία

1. Διαβάστε το αντίστοιχο αρχείο αναφοράς στο docs/.
2. Επιλέξτε σχετικό παράδειγμα από το examples/.
3. Εκτελέστε μόνο ασφαλή τοπικά βήματα ή βήματα βασισμένα σε μοντέλο.
4. Συγκεντρώστε evidence κάτω από το submission/evidence/.
5. Γράψτε σύντομη σημείωση για κινδύνους και cleanup.

Κριτήρια αποδοχής

• Οι εντολές ή τα artifacts μοντέλου είναι αναπαραγώγιμα.
• Δεν χρησιμοποιούνται production endpoints, credentials ή nodes.
• Το πλαίσιο namespace, snapshotter, runtime ή CRI είναι ρητό.
• Οι αστοχίες και τα όρια τεκμηριώνονται.

Υποβολή

submission/
  evidence/
  notes.md
  cleanup.md

10. Περιγραφή cleanup

Ο στόχος είναι να εκτελέσετε το θέμα «Περιγραφή cleanup» ως ανιχνεύσιμη δραστηριότητα containerd. Η λύση πρέπει να περιλαμβάνει evidence και να διαχωρίζει καθαρά host, containerd, CRI, OCI και Kubernetes.

Εργασία

1. Διαβάστε το αντίστοιχο αρχείο αναφοράς στο docs/.
2. Επιλέξτε σχετικό παράδειγμα από το examples/.
3. Εκτελέστε μόνο ασφαλή τοπικά βήματα ή βήματα βασισμένα σε μοντέλο.
4. Συγκεντρώστε evidence κάτω από το submission/evidence/.
5. Γράψτε σύντομη σημείωση για κινδύνους και cleanup.

Κριτήρια αποδοχής

• Οι εντολές ή τα artifacts μοντέλου είναι αναπαραγώγιμα.
• Δεν χρησιμοποιούνται production endpoints, credentials ή nodes.
• Το πλαίσιο namespace, snapshotter, runtime ή CRI είναι ρητό.
• Οι αστοχίες και τα όρια τεκμηριώνονται.

Υποβολή

submission/
  evidence/
  notes.md
  cleanup.md

Επίσημες πηγές και όρια

• Τεκμηρίωση containerd, getting started και configuration: https://containerd.io/docs/2.3/getting-started/
• containerd registry hosts.toml: https://github.com/containerd/containerd/blob/main/docs/hosts.md
• containerd runtime v2 και μοντέλο shim: https://github.com/containerd/containerd/blob/main/docs/runtime-v2.md
• Kubernetes container runtimes: https://kubernetes.io/docs/setup/production-environment/container-runtimes/
• Kubernetes Container Runtime Interface: https://kubernetes.io/docs/concepts/containers/cri/
• OCI Image Specification: https://github.com/opencontainers/image-spec
• OCI Runtime Specification: https://github.com/opencontainers/runtime-spec
• Open Container Initiative: https://opencontainers.org/

Το workshop δεν εισάγει νέο containerd API. Συνδέει τις επίσημες έννοιες με labs, ερωτήσεις review και λειτουργικές ροές. Όταν ένα αρχείο περιγράφει μοντέλο, αυτό επισημαίνεται ρητά ως μοντέλο ή lab artifact.

Πρακτικό παράρτημα: Evidence containerd για αυτή την άσκηση

Το παράρτημα συνδέει το αρχείο με αναπαραγώγιμο runtime evidence. Κάθε δήλωση πρέπει να συνδέεται με συγκεκριμένο επίπεδο, artifact, επίπτωση και λειτουργική απόφαση.

A.1 Μοντέλο επιπέδων

Το containerd πρέπει να κατανοείται ως επίπεδο runtime: host, systemd, daemon του containerd, plugins, content store, snapshotter, runtime v2, shim, runc, CRI, CNI και Kubernetes έχουν διαφορετικές ευθύνες.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.2 Daemon και socket

Ο daemon του containerd προσφέρει gRPC API μέσω Unix socket. Αλλαγές στο socket, στα permissions ή στο service καθορίζουν ποια εργαλεία και orchestrators μπορούν να επικοινωνούν με το runtime.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.3 Σύστημα plugins

Το containerd φορτώνει λειτουργίες μέσω plugins. Τα CRI, snapshotters, diff service, content service, runtime task service και image verification πρέπει να αξιολογούνται με βάση τα ενεργά plugins.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.4 Content store

Το content store διατηρεί OCI περιεχόμενο με βάση το digest. Τα tags είναι ονόματα, ενώ τα digests είναι διευθύνσεις περιεχομένου. Αυτή η διάκριση είναι βασική για αναπαραγωγιμότητα και supply-chain review.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.5 Snapshotter

Οι snapshotters δημιουργούν χρησιμοποιήσιμα root filesystems από image layers. Το OverlayFS είναι συνηθισμένη προεπιλογή, ενώ remote snapshotters όπως Stargz ή Nydus αλλάζουν τον χρόνο εκκίνησης, τη συμπεριφορά IO και τις πιθανές αστοχίες.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.6 Container και task

Το container είναι αντικείμενο metadata· το task είναι η εκτελούμενη διεργασία. Πολλά λάθη στο debugging προκύπτουν όταν συγχέονται αυτά τα δύο επίπεδα.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.7 Runtime v2 και shim

Το containerd ξεκινά containers μέσω runtime-v2 shims. Το shim διατηρεί IO, exit status και σχέση διεργασιών και αποσυνδέει εν μέρει τα ενεργά tasks από τον daemon του containerd.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.8 OCI Runtime

Το runc ή εναλλακτικά runtimes υλοποιούν το OCI Runtime Specification. Ξεκινούν απομονωμένη διεργασία με namespaces, mounts, cgroups και security profiles.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.9 CRI

Το Kubernetes δεν επικοινωνεί απευθείας με το ctr· χρησιμοποιεί το CRI. Το crictl είναι συχνά καταλληλότερο για διάγνωση node, ενώ το ctr λειτουργεί βαθύτερα μέσα στο containerd.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.10 CNI

Το containerd δεν αποτελεί ολόκληρο το δίκτυο Kubernetes. Κατά την εκκίνηση Pod, το επίπεδο CRI καλεί CNI plugins που ρυθμίζουν network namespace, IPAM, routes και port mapping.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.11 Registry και resolver

Η συμπεριφορά registry ρυθμίζεται μέσω resolver, host namespace και hosts.toml. Mirror, TLS, authentication και capabilities πρέπει να εξετάζονται χωριστά.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.12 Cgroups και systemd

Σε hosts με systemd, kubelet και runtime πρέπει να χρησιμοποιούν συνεπές μοντέλο systemd cgroup. Διαφορετικοί cgroup drivers προκαλούν προβλήματα node που είναι δύσκολο να διαγνωστούν.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.13 Namespaces

Τα containerd namespaces είναι namespaces των metadata, όχι Linux namespaces. Το Kubernetes χρησιμοποιεί συνήθως k8s.io· πειράματα με ctr πρέπει να χρησιμοποιούν αποκλειστικά namespaces.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.14 Rootless

Το rootless containerd μειώνει ορισμένους κινδύνους για τον host, αλλά έχει σαφή όρια σε networking, cgroups, storage και ενσωμάτωση Kubernetes. Το rootless είναι λειτουργικό μοντέλο, όχι γενική υπόσχεση ασφάλειας.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.15 Εμπιστοσύνη images

Signatures, verification, SBOM και vulnerability scanning είναι έλεγχοι supply chain. Πρέπει να ενσωματώνονται πριν από το pull, πριν από το start ή μέσω admission και policy μηχανισμών.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.16 Security profiles

Seccomp, AppArmor, SELinux, capabilities και RuntimeClass περιορίζουν τη συμπεριφορά containers. Αυτοί οι έλεγχοι αλληλοσυμπληρώνονται, αλλά δεν αντικαθιστούν ασφαλή images ή host hardening.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.17 Garbage collection

Το garbage collection δεν πρέπει να εξετάζει μόνο τον ελεύθερο χώρο δίσκου. Content, snapshots, images, containers, tasks και leases πρέπει να αξιολογούνται μαζί, ώστε να μη διαταραχθούν ενεργά workloads.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.18 Observability

Μια καλή διάγνωση runtime συγκεντρώνει versions, κατάσταση service, logs, events, plugins, namespaces, αποτυχίες registry, κατάσταση snapshotter και CRI output σε ένα πακέτο evidence.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.19 Upgrade και rollback

Τα upgrades του runtime επηρεάζουν ενεργά workloads και Kubernetes nodes. Μια ασφαλής διαδρομή περιλαμβάνει backup, drain, δοκιμή version, restart service, smoke test, rollback και review μετά την αλλαγή.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.20 Incident response

Registry outage, TLS errors, pull rate limits, κατεστραμμένα snapshots και runtime failures χρειάζονται ξεχωριστά runbooks. Ένα incident ολοκληρώνεται όταν τεκμηριώνονται αιτία, workaround, διόρθωση και πρόληψη.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.21 Μοντέλο και πραγματικότητα

Πολλά παραδείγματα είναι ασφαλή μοντέλα. Η μεταφορά σε πραγματικά nodes απαιτεί πρόσθετο review για distribution, containerd version, Kubernetes version, CNI, registry, security policy και διαδικασία αλλαγών.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.22 Evidence

Το evidence περιλαμβάνει command output, configuration, logs, hashes, versions και σημειώσεις review. Δεν περιλαμβάνει production secrets, tokens, client certificates ή pull credentials.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.23 Performance

Η απόδοση εξαρτάται από snapshotter, registry latency, δομή layers, deduplication, filesystem, IO, CPU, cgroups και remote snapshotters. Κάθε βελτιστοποίηση χρειάζεται μετρήσιμο στόχο.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.24 Μεταφορά σε production

Η μεταφορά σε production δεν σημαίνει αντιγραφή lab files. Χρειάζεται υπεύθυνος, change ticket, rollback, monitoring, έγκριση ασφάλειας, maintenance window και τεκμηριωμένα κριτήρια αποδοχής.

Αυτή η οπτική πρέπει να μεταφέρεται σε συγκεκριμένο review. Μια γενική φράση όπως «ελέγξτε το runtime» δεν αρκεί· το αναμενόμενο evidence κατονομάζει εργαλείο, αρχείο, κίνδυνο και απόφαση.

Συγκεκριμένες ερωτήσεις review:

• Ποιο επίπεδο runtime επηρεάζεται;
• Ποιο αρχείο ή output υποστηρίζει τη δήλωση;
• Πρόκειται για συμπεριφορά του containerd, του CRI, του OCI, του CNI ή του Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε production node;
• Ποια δυνατότητα rollback υπάρχει;
• Ποιο evidence δεν πρέπει να περιέχει secrets;
• Ποιες versions πρέπει να κατονομαστούν;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Τυπικό evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.25 Ελάχιστο evidence ολοκλήρωσης

• Τεκμηριώνονται οι versions των containerd, ctr και runc όπου είναι εγκατεστημένα.
• Το scope περιγράφεται σαφώς ως μοντέλο, τοπικός host ή Kubernetes node.
• Τα artifacts TOML, YAML, JSON και shell έχουν ελεγχθεί συντακτικά.
• Οι αλλαγές σε registry, runtime, snapshotter ή CRI συνοδεύονται από σημείωση rollback.
• Το evidence δεν περιέχει production credentials.
• Γίνεται αναφορά στις επίσημες πηγές χωρίς να αντικαθίστανται από επινοημένες παραδοχές.