Επισκόπηση

Αυτό το workshop καλύπτει τη διαδρομή από τις βασικές αρχές μιας Container Runtime έως την ασφαλή λειτουργία Kubernetes Nodes με CRI, OCI, Registries, Snapshotters και RuntimeClass.

Η έμφαση δίνεται στα εξής:

• Αρχιτεκτονική του containerd.
• OCI Image, Runtime και Distribution.
• Content Store, Metadata Store και Snapshotters.
• Container, Task, Process και Shim.
• ctr, nerdctl και crictl ως διαφορετικά εργαλεία.
• Ενσωμάτωση CRI με το Kubernetes.
• Registry hosts.toml, Mirrors και TLS.
• Μετάβαση στο CNI, Cgroups, Rootless Mode και RuntimeClass.
• Security Hardening, Image Verification και Incident Response.

Γρήγορη εκκίνηση

Κατεβάστε τα αρχεία του workshop και ελέγξτε πρώτα το provisioning script με --dry-run:

# Το περιεχόμενο του workshop παρέχεται μέσω της Orthevs Academy.
chmod +x scripts/provision_containerd.sh
./scripts/provision_containerd.sh --dry-run

Στη συνέχεια, ξεκινήστε με το Curriculum και τα πρώτα παραδείγματα:

less docs/curriculum-containerd-EN.md
less workshops/01-fundamentals-containerd-EN.md
cd examples/00-lab-skeleton
./run.sh

Τα έγγραφα που δεν διαθέτουν ακόμη ελληνική έκδοση εμφανίζονται στα αγγλικά. Οι σύνδεσμοι θα οδηγούν στην ελληνική έκδοση όταν αυτή προστεθεί.

Σε ποιους απευθύνεται

Το workshop απευθύνεται σε Developers, DevOps Engineers, Platform Engineers, SREs, System Engineers, Kubernetes Administrators και Security Engineers που χρειάζεται όχι μόνο να χρησιμοποιούν το containerd, αλλά και να κατανοούν και να λειτουργούν το επίπεδο Runtime.

Διαδρομή μάθησης

Δομή περιεχομένου

• Τεκμηρίωση
• Curriculum
• Fundamentals
• Intermediate
• Professional
• Advanced + Security
• Ασκήσεις
• Παραδείγματα
• Assessments

Δομή του workshop

.
├── assessments/
├── docs/
├── examples/
├── exercises/
├── media/
│   └── pics/
├── scripts/
├── workshops/
├── LICENSE.md
└── README-EL.md

Προαπαιτούμενα

• Linux, WSL, VM ή δοκιμαστικό Bare Metal σύστημα.
• containerd, ctr και runc για τα Runtime Labs.
• Προαιρετικά nerdctl, crictl, kubectl, CNI Plugins και μια τοπική Registry.
• Μη χρησιμοποιείτε Production Nodes, Registries, Pull Secrets ή Cluster Endpoints για τα Labs.

Τρόπος εργασίας

Όλα τα παραδείγματα δημιουργούν προσωρινά Artifacts στον φάκελο work/. Αυτά τα Artifacts αγνοούνται από το Version Control και ενδέχεται να περιέχουν ιδιωτικά δεδομένα, προσωρινή διαμόρφωση ή Evidence. Στο Version Control διατηρούνται μόνο ασφαλή Lab Configurations και τεκμηρίωση.

Επίσημες πηγές και πεδίο εφαρμογής

• Τεκμηρίωση containerd, Getting Started και Configuration: https://containerd.io/docs/2.3/getting-started/
• containerd Registry hosts.toml: https://github.com/containerd/containerd/blob/main/docs/hosts.md
• containerd Runtime v2 και μοντέλο Shim: https://github.com/containerd/containerd/blob/main/docs/runtime-v2.md
• Kubernetes Container Runtimes: https://kubernetes.io/docs/setup/production-environment/container-runtimes/
• Kubernetes Container Runtime Interface: https://kubernetes.io/docs/concepts/containers/cri/
• OCI Image Specification: https://github.com/opencontainers/image-spec
• OCI Runtime Specification: https://github.com/opencontainers/runtime-spec
• Open Container Initiative: https://opencontainers.org/

Αυτό το workshop δεν ορίζει δική του containerd API. Εντάσσει τις επίσημες έννοιες σε Labs, ερωτήσεις Review και λειτουργικές διαδικασίες. Όταν ένα αρχείο περιγράφει ένα μοντέλο, το χαρακτηρίζει ρητά ως μοντέλο ή Lab Artifact.

Πρακτικό παράρτημα: τεκμηρίωση containerd

Αυτό το παράρτημα συνδέει το περιεχόμενο με επαναλήψιμα Runtime Evidence. Κάθε ισχυρισμός πρέπει να μπορεί να συσχετιστεί με συγκεκριμένο επίπεδο, Artifact, επίδραση και λειτουργική απόφαση.

A.1 Schichtenmodell

Το containerd πρέπει να γίνεται κατανοητό ως επίπεδο Runtime: Host, Systemd, containerd Daemon, Plugins, Content Store, Snapshotter, Runtime v2, Shim, runc, CRI, CNI και Kubernetes εκπληρώνουν διαφορετικούς ρόλους.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.2 Daemon και Socket

Ο containerd Daemon παρέχει μια gRPC API μέσω Unix Socket. Κάθε αλλαγή στο Socket, στα δικαιώματα ή στο Service επηρεάζει ποια Tools και ποιοι Orchestrators μπορούν να επικοινωνούν με τη Runtime.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.3 Σύστημα Plugins

Το containerd φορτώνει λειτουργίες μέσω Plugins. Τα CRI, Snapshotter, Diff Service, Content Service, Runtime Task Service και Image Verification πρέπει να αξιολογούνται με βάση τα ενεργά Plugins.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.4 Content Store

Το Content Store αποθηκεύει OCI Content μέσω Digests. Τα Tags είναι ονόματα, ενώ τα Digests είναι διευθύνσεις περιεχομένου. Αυτός ο διαχωρισμός είναι βασικός για το Reproducibility και το Supply Chain Review.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.5 Snapshotter

Οι Snapshotters δημιουργούν χρησιμοποιήσιμα Root Filesystems από Image Layers. Το OverlayFS είναι η συνήθης επιλογή, ενώ Remote Snapshotters όπως Stargz ή Nydus μεταβάλλουν τον χρόνο εκκίνησης, τη συμπεριφορά IO και τα μοτίβα σφαλμάτων.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.6 Container και Task

Ένα Container είναι αντικείμενο Metadata, ενώ μια Task είναι η εκτελούμενη διεργασία. Πολλά σφάλματα στο Debugging προκύπτουν από τη σύγχυση αυτών των δύο επιπέδων.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.7 Runtime v2 και Shim

Το containerd εκκινεί Containers μέσω Runtime v2 Shims. Το Shim διατηρεί τη σύνδεση με IO, Exit Status και Process και αποσυνδέει εν μέρει τις εκτελούμενες Tasks από τον containerd Daemon.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.8 OCI Runtime

Το runc ή εναλλακτικές Runtimes υλοποιούν το OCI Runtime Specification. Εκκινούν την απομονωμένη διεργασία με Namespaces, Mounts, Cgroups και Security Profiles.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.9 CRI

Το Kubernetes δεν επικοινωνεί απευθείας μέσω ctr, αλλά μέσω CRI. Επομένως, το crictl είναι συχνά πιο κατάλληλο για διάγνωση Node, ενώ το ctr εργάζεται πιο κοντά στα εσωτερικά του containerd.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.10 CNI

Το containerd από μόνο του δεν αποτελεί ολόκληρο το δίκτυο του Kubernetes. Κατά την εκκίνηση ενός Pod, το επίπεδο CRI καλεί CNI Plugins που ρυθμίζουν Network Namespace, IPAM, Routes και Port Mapping.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.11 Registry και Resolver

Η συμπεριφορά της Registry καθορίζεται από Resolver, Host Namespace και hosts.toml. Τα Mirrors, TLS, Authentication και Capabilities πρέπει να ελέγχονται ξεχωριστά.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.12 Cgroups και Systemd

Σε συστήματα Systemd, το kubelet και η Runtime πρέπει να χρησιμοποιούν συνεπώς το μοντέλο Systemd Cgroups. Η ανάμειξη Cgroup Drivers προκαλεί προβλήματα Node που είναι δύσκολο να αναλυθούν.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.13 Namespaces

Τα containerd Namespaces είναι Metadata Namespaces, όχι Linux Namespaces. Το Kubernetes χρησιμοποιεί συνήθως το k8s.io· τα άμεσα πειράματα με ctr πρέπει να χρησιμοποιούν ξεχωριστά Namespaces.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.14 Rootless

Το Rootless containerd μειώνει ορισμένους κινδύνους για τον Host, αλλά έχει σαφή όρια στο Networking, στα Cgroups, στο Storage και στην ενσωμάτωση με Kubernetes. Το Rootless είναι λειτουργικό μοντέλο, όχι γενική εγγύηση ασφάλειας.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.15 Image Trust

Οι Signatures, το Verification, το SBOM και το Vulnerability Scanning είναι Supply Chain Controls. Πρέπει να ενσωματώνονται στη διαδικασία πριν από το Pull, πριν από την εκκίνηση ή μέσω Admission και Policy μηχανισμών.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.16 Security Profiles

Τα Seccomp, AppArmor, SELinux, Capabilities και RuntimeClass περιορίζουν τη συμπεριφορά των Containers. Αυτά τα Controls αλληλοσυμπληρώνονται, αλλά δεν αντικαθιστούν ούτε ασφαλή Images ούτε Host Hardening.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.17 Garbage Collection

Το Garbage Collection δεν πρέπει να εξετάζει μόνο τον ελεύθερο αποθηκευτικό χώρο. Content, Snapshots, Images, Containers, Tasks και Leases πρέπει να αξιολογούνται μαζί, ώστε να μην επηρεάζονται ενεργά Workloads.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.18 Observability

Η σωστή διάγνωση Runtime συλλέγει Versions, Service Status, Logs, Events, Plugins, Namespaces, Registry Errors, κατάσταση Snapshotter και αποτελέσματα CRI ως ενιαίο σύνολο Evidence.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.19 Upgrade και Rollback

Τα Runtime Upgrades επηρεάζουν εκτελούμενα Workloads και Kubernetes Nodes. Μια ασφαλής διαδικασία περιλαμβάνει Backup, Drain, έλεγχο Version, Service Restart, Smoke Test, Rollback και Review μετά την αλλαγή.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.20 Incident Response

Η διακοπή Registry, τα TLS Errors, τα Pull Rate Limits, τα κατεστραμμένα Snapshots και τα Runtime Errors χρειάζονται ξεχωριστά Runbooks. Ένα Incident ολοκληρώνεται όταν έχουν τεκμηριωθεί η αιτία, το Workaround, η διόρθωση και η πρόληψη.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.21 Μοντέλο και πραγματικό σύστημα

Πολλά παραδείγματα είναι ασφαλή μοντέλα. Η εφαρμογή τους σε πραγματικούς Nodes απαιτεί πρόσθετο έλεγχο της Distribution, των Versions containerd και Kubernetes, του CNI, της Registry, της Security Policy και της διαδικασίας Change.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.22 Evidence

Τα Evidence περιλαμβάνουν αποτελέσματα εντολών, Configurations, Logs, Hashes, Versions και σημειώσεις Review. Δεν περιλαμβάνουν παραγωγικά Secrets, Tokens, Client Certificates ή Pull Credentials.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.23 Performance

Το Performance εξαρτάται από Snapshotter, Registry Latency, δομή Layers, Deduplication, Filesystem, IO, CPU, Cgroups και Remote Snapshotters. Κάθε Optimization χρειάζεται μετρήσιμο στόχο.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.24 Μετάβαση σε Production

Η μετάβαση σε Production δεν είναι αντιγραφή Lab Files. Χρειάζεται Ownership, Change Ticket, Rollback, Monitoring, έγκριση Security, Maintenance Window και τεκμηριωμένα Acceptance Criteria.

Η οπτική αυτή πρέπει να εξειδικεύεται στο Review. Μια γενική οδηγία όπως «ελέγξτε τη Runtime» δεν αρκεί· χρειάζεται επαληθεύσιμη παρατήρηση με Tool, File, Risk και απόφαση.

Συγκεκριμένες ερωτήσεις Review:

• Ποιο επίπεδο Runtime επηρεάζεται;
• Ποιο File ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Η συμπεριφορά αφορά άμεσα το containerd, το CRI, το OCI, το CNI ή το Kubernetes;
• Ποια αλλαγή θα ήταν επικίνδυνη σε έναν Production Node;
• Ποια δυνατότητα Rollback υπάρχει;
• Ποια Evidence πρέπει να είναι απαλλαγμένα από Secrets;
• Ποιες Versions πρέπει να αναφέρονται;
• Ποιος έλεγχος αποδοχής αποδεικνύει την επιτυχία;

Συνήθη Evidence:

evidence/
  tooling.txt
  runtime-layer.md
  config-or-model.txt
  risk-note.md
  rollback.md

A.25 Ελάχιστα τεκμήρια ολοκλήρωσης

• Οι Versions των containerd, ctr και runc έχουν τεκμηριωθεί, εφόσον είναι εγκατεστημένα.
• Το Scope περιγράφεται σαφώς ως μοντέλο, τοπικός Host ή Kubernetes Node.
• Τα TOML, YAML, JSON και Shell Artifacts έχουν ελεγχθεί ως προς τη Syntax τους.
• Οι αλλαγές σε Registry, Runtime, Snapshotter ή CRI συνοδεύονται από σημείωση Rollback.
• Τα Evidence δεν περιέχουν παραγωγικά Credentials.
• Γίνονται αναφορές σε επίσημες πηγές αντί για επινοημένες παραδοχές.