Kubernetes 运行时与镜像

容器运行时与镜像链路决定了 Pod 能否快速、安全地启动。本分类覆盖 containerd、CRI 工具、Docker/Podman、Buildah/Kaniko/Skopeo 等构建与同步工具，以及 Harbor、Registry、Dragonfly、Spegel、Nydus 等镜像仓库与分发方案。

• buildah - 无需守护进程即可构建 OCI / Docker 镜像的命令行工具
• containerd - Kubernetes 集群最主流的容器运行时,负责镜像拉取、容器创建与生命周期管理
• crictl - CRI容器运行时调试命令行工具
• ctr - containerd原生命令行客户端
• docker - 构建、分发镜像并以容器方式运行和排查进程的命令行工具。
• dragonfly - 基于P2P技术的镜像与文件分发加速系统,CNCF毕业项目
• gvisor - 用户态内核沙箱容器运行时,为不可信工作负载提供第二层隔离
• harbor - 开源容器镜像仓库,提供镜像签名、扫描与多租户复制能力
• kaniko - Google 已归档的集群内镜像构建工具,可在无守护进程的容器里解释执行 Dockerfile
• kata-containers - 基于轻量虚拟机的容器运行时,每个 Pod 一个独立 guest 内核
• nerdctl - containerd 的 Docker 兼容命令行客户端,支持 Compose、构建与 Kubernetes 命名空间
• nydus - 基于RAFS格式的按需加载镜像服务,把容器冷启动从分钟级压到秒级
• podman - 无守护进程的容器引擎,可构建与运行容器,并能直接跑 Kubernetes YAML
• registry - Docker Registry 官方参考实现,自建最简私有镜像仓库的选择
• registry-mirror - 配置containerd与CRI-O的镜像加速与私有仓库,通过mirror规避registry限流
• skopeo - 在不落地的情况下直接操作远端镜像仓库,用于镜像检查、复制与离线同步
• spegel - 无状态的集群内P2P OCI镜像缓存,让节点互相拉取已缓存的镜像层