4. Containerd 核心配置文件详解：config.toml 关键字段解析

Containerd 的配置体系以 config.toml 为核心，该文件控制着容器运行时与 kubelet 之间的协同行为、资源管理策略以及插件加载机制。本章将深入解析 version、oom_score 和 plugins 三个关键字段，帮助你在生产环境中精准调优。

4.1 配置版本声明：version 字段

version 字段决定了配置文件的解析引擎版本，直接影响后续字段的合法性和行为语义。当前主流版本为 2，version = 1 已被标记为废弃。

# 标准 version = 2 配置头部示例
version = 2
root = "/var/lib/containerd"
state = "/run/containerd"

4.2 OOM 优先级控制：oom_score 字段

oom_score 控制 containerd 主进程在系统内存不足时被 OOM Killer 选中的优先级。该字段仅在 version = 2 下生效，取值范围为 -1000（最不可能被杀死）到 1000（最可能被杀死）。

# 生产环境推荐配置
version = 2
oom_score = -500

4.3 插件体系核心：plugins 字段

plugins 是 config.toml 中体量最大、最关键的配置块，它采用 TOML 嵌套表结构，每个插件通过 "io.containerd.xxx.v1" 格式的命名空间标识。与 kubelet 协同的核心插件是 io.containerd.grpc.v1.cri。

4.3.1 CRI 插件关键子字段

以下表格列出 plugins."io.containerd.grpc.v1.cri" 下与 kubelet 协同最密切的子字段：

4.3.2 插件配置结构示例

version = 2
oom_score = -500

[plugins]
  [plugins."io.containerd.grpc.v1.cri"]
    sandbox_image = "registry.k8s.io/pause:3.9"
    max_container_log_line_size = 32768
    disable_proc_mount = true
    enable_selinux = false
    enable_unprivileged_ports = true
    enable_unprivileged_icmp = true

    [plugins."io.containerd.grpc.v1.cri".containerd]
      default_runtime_name = "runc"
      snapshotter = "overlayfs"

      [plugins."io.containerd.grpc.v1.cri".containerd.runtimes]
        [plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc]
          runtime_type = "io.containerd.runc.v2"
          base_runtime_spec = ""

    [plugins."io.containerd.grpc.v1.cri".registry]
      [plugins."io.containerd.grpc.v1.cri".registry.mirrors]
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
          endpoint = ["https://mirror.ccs.tencentyun.com"]

4.4 配置字段协同关系图

下图展示了 version、oom_score 和 plugins 三个字段在 containerd 启动流程中的协同关系：

4.5 生产环境配置清单检查

在将 config.toml 部署到生产集群前，请逐项核对以下清单：

• version：确认首行为 version = 2，避免使用已废弃的 v1 格式。
• oom_score：设置为 -500 至 -100 之间，禁止设为 -1000 或 1000。
• sandbox_image：确保 pause 镜像版本与集群 Kubernetes 版本兼容，且已在所有节点上预拉取。
• max_container_log_line_size：对于高日志输出应用，建议提升至 65536（64KB）。
• registry.mirrors：配置可靠的镜像加速器，避免因拉取超时导致 Pod 启动延迟。
• runtimes：明确指定 default_runtime_name，如需 gVisor 或 Kata 等安全容器，提前注册 runtime 配置。