容器运行时基础：OCI规范、runc、containerd、CRI-O核心组件解析

容器运行时是Kubernetes集群的基石，负责拉取镜像、创建容器、管理容器生命周期。本章深入解析OCI规范、runc、containerd与CRI-O四大核心组件，帮助您理解容器从镜像到运行实例的完整路径。

2.1 OCI规范：容器运行时的“通用语言”

Open Container Initiative（OCI）是Linux基金会下的开放标准组织，定义了容器格式与运行时的行业规范，确保不同容器引擎之间的互操作性。OCI规范包含两个核心部分：镜像规范（Image Spec）和运行时规范（Runtime Spec）。

规范名称	定义内容	关键文件/结构
镜像规范	容器镜像的文件系统布局、配置元数据、层（Layer）组织方式	config.json、manifest.json、blobs/ 目录
运行时规范	容器运行时的生命周期操作（创建、启动、停止、删除）及环境配置	config.json（命名空间、cgroups、挂载点、进程参数）

2.2 runc：OCI运行时参考实现

runc是OCI运行时规范的参考实现，由Docker捐赠给Linux基金会，是目前最广泛使用的底层容器运行时。它直接与Linux内核交互，通过cgroups和命名空间实现资源隔离与限制。

runc的核心能力

• 容器创建与启动：根据OCI bundle（包含config.json和rootfs）创建并运行容器进程。
• 生命周期管理：支持create、start、kill、delete、exec、ps等操作。
• Linux内核特性封装：直接操作命名空间（PID、Network、Mount、User等）、cgroups（CPU、内存、IO）、Seccomp、Capabilities。
• 无守护进程模式：runc本身不长期驻留后台，每次操作启动独立进程，执行完即退出。

runc工作流程示例

# 1. 准备OCI bundle（包含config.json和rootfs）
mkdir mycontainer && cd mycontainer
mkdir rootfs
# 将容器文件系统解压到rootfs目录
# 生成config.json（可使用runc spec命令生成模板）

# 2. 创建容器
runc create mycontainer

# 3. 启动容器
runc start mycontainer

# 4. 在容器内执行命令
runc exec mycontainer ls -la

# 5. 停止并删除容器
runc kill mycontainer
runc delete mycontainer

2.3 containerd：工业级容器管理引擎

containerd是从Docker Engine中剥离出来的核心容器管理组件，2017年捐赠给CNCF，现为毕业项目。它提供了比runc更高层次的抽象，负责镜像传输、存储管理、容器生命周期和网络附加等能力。

特性	说明	与runc的关系
镜像管理	拉取、推送、存储、解压OCI镜像，管理镜像层和元数据	runc不处理镜像，只运行OCI bundle
容器生命周期	创建、启动、停止、暂停、恢复、删除容器	containerd调用runc执行底层容器操作
快照器	管理容器文件系统快照（overlayfs、devicemapper等）	runc直接使用已准备好的rootfs
gRPC API	通过CRI（Container Runtime Interface）与kubelet通信	runc无网络API，仅CLI
命名空间	支持多租户隔离，不同租户的容器互不可见	runc单容器实例

2.4 CRI-O：专为Kubernetes优化的轻量级运行时

CRI-O是Red Hat主导开发的容器运行时，专门为Kubernetes的CRI接口设计，目标是替代Docker成为Kubernetes的原生容器引擎。它直接实现CRI接口，跳过了Docker Engine的额外抽象层，架构更简洁。

CRI-O与containerd的对比

对比维度	CRI-O	containerd
设计目标	专为Kubernetes CRI而生，最小化依赖	通用容器管理引擎，支持多种上层调用
镜像管理	直接使用containers/image库	内置镜像管理模块
底层运行时	默认runc，可切换crun、kata等	默认runc，支持多种运行时插件
监控指标	通过conmon提供容器监控	内置metrics端点
社区生态	OpenShift、OKD默认运行时	Docker、K3s、Rancher广泛使用
二进制体积	约50MB（精简）	约80MB（功能更全）

CRI-O的核心组件

• crio daemon：主守护进程，实现CRI gRPC服务端，处理PodSandbox、容器创建等请求。
• conmon：容器监控进程，负责捕获容器标准输出/错误流、处理容器退出信号、提供OOM检测。
• pause容器：每个Pod启动时先创建pause容器，持有Pod级别的命名空间（Network、PID、IPC），其他容器加入该命名空间。
• 运行时插件：通过crio.runtime配置支持多种OCI运行时（runc、crun、kata-containers）。

2.5 容器运行时调用链全景

从kubelet到最终容器进程，完整的调用链展示了各组件如何协同工作：

1. kubelet 通过CRI gRPC接口向容器运行时发送RunPodSandbox或CreateContainer请求。
2. containerd/CRI-O 接收请求，解析镜像配置，准备容器文件系统（快照/挂载）。
3. containerd-shim/CRI-O conmon 创建监控进程，准备OCI bundle（生成config.json）。
4. runc 读取OCI bundle，调用Linux内核系统调用（clone、unshare、mount）创建容器进程。
5. 容器进程 在隔离的命名空间和cgroups限制中运行，标准输出通过shim/conmon返回给kubelet。

2.6 核心组件配置示例

containerd配置文件（/etc/containerd/config.toml）关键段

version = 2
[plugins]
  [plugins."io.containerd.grpc.v1.cri"]
    sandbox_image = "registry.k8s.io/pause:3.9"
    [plugins."io.containerd.grpc.v1.cri".containerd]
      default_runtime_name = "runc"
      [plugins."io.containerd.grpc.v1.cri".containerd.runtimes]
        [plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc]
          runtime_type = "io.containerd.runc.v2"
          [plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc.options]
            SystemdCgroup = true

CRI-O配置文件（/etc/crio/crio.conf）关键段

[crio.runtime]
default_runtime = "runc"
pause_image = "registry.k8s.io/pause:3.9"
pause_command = "/pause"
conmon_cgroup = "pod"
conmon_env = [
  "PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin",
]
[crio.runtime.runtimes.runc]
runtime_path = "/usr/bin/runc"
runtime_type = "oci"
runtime_root = "/run/runc"