Container Runtimes Question #019e3a4f

A resposta correta é o grupo de container runtimes que fornecem isolamento adicional em sandbox e segurança elevada: runsc (gVisor) e kata (Kata Containers).

Como Funciona

Container runtimes tradicionais como runc e crun compartilham o kernel do host diretamente, oferecendo isolamento limitado. Em contraste, runtimes em sandbox introduzem uma camada adicional de isolamento:

• runsc (gVisor): Implementa um kernel em espaço de usuário que intercepta chamadas de sistema do container, fornecendo uma barreira de segurança sem exigir virtualização de hardware.
• kata (Kata Containers): Usa máquinas virtuais (VMs) leves para executar cada container em seu próprio kernel dedicado, aproveitando a virtualização de hardware para um forte isolamento.

Por que o Valor Correto está Certo

runsc e kata são explicitamente projetados para segurança aprimorada por meio de sandboxing. Eles são frequentemente usados em ambientes multi-inquilinos onde cargas de trabalho não confiáveis devem ser isoladas do host e entre si.

Por que os Valores Incorretos estão Errados

• runc e cgroups: runc é o runtime OCI padrão que executa containers diretamente no kernel do host. cgroups é um recurso do kernel para limitação de recursos, não um runtime. Essa combinação não fornece isolamento em sandbox.
• docker e containerd: Docker é uma plataforma de containers que usa containerd como seu gerenciador de runtime, que por sua vez usa runc por padrão. Nenhum deles fornece sandboxing adicional além do isolamento padrão de containers.
• crun e cri-o: crun é um runtime OCI rápido e de baixo nível semelhante ao runc. cri-o é um mecanismo de containers compatível com CRI que normalmente usa runc ou crun. Essa combinação carece da camada extra de isolamento dos runtimes em sandbox.