2. 容器运行时基础：OCI运行时规范、runc与crun、容器与宿主机内核的关系

容器运行时是容器生命周期管理的核心执行层，负责从镜像解包到进程隔离运行的全过程。在生产发布流水线中，运行时选择直接决定容器的启动速度、资源开销和安全隔离强度。本章从OCI规范出发，对比主流运行时实现，并深入剖析容器与宿主机内核的共享关系。

2.1 OCI运行时规范

Open Container Initiative（OCI）是Linux基金会下的开放标准组织，定义了容器格式和运行时的两份规范：

Runtime Spec 定义了容器运行时的最小行为契约：

• 状态机：容器状态在 creating → created → running → stopped 之间流转。
• config.json：描述容器根文件系统、挂载点、进程参数、命名空间、cgroups、capabilities、seccomp 等。
• 生命周期钩子：prestart、poststart、poststop，用于在关键节点注入自定义操作。

2.2 runc 与 crun 对比

runc 和 crun 是当前最主流的 OCI 运行时实现，两者在架构和性能上存在显著差异：

2.3 容器与宿主机内核的关系

容器并非“轻量级虚拟机”，所有容器共享宿主机内核。这一共享模型是容器高性能的基础，也是安全风险的根源。

2.3.1 共享内核模型

• 系统调用直通：容器内进程直接通过宿主机内核进行系统调用，无虚拟化层开销。
• 内核对象共享：文件系统缓存、网络协议栈、进程调度、内存管理均由宿主机内核统一管理。
• 隔离依赖命名空间：PID、Mount、Network、UTS、IPC、User、Cgroup 等命名空间提供逻辑隔离，但内核漏洞可导致逃逸。

2.3.2 内核攻击面

2.4 容器运行时架构总览

下图展示了从高层容器管理工具到底层 OCI 运行时的完整调用链，以及容器与宿主机内核的共享关系：

2.5 发布窗口防护中的运行时检查清单

在流水线准入阶段，应针对容器运行时执行以下验证：

1. 运行时版本检查：确认 runc/crun 版本已修复已知 CVE（如 CVE-2024-21626）。
2. config.json 安全审计：检查 readonlyPaths、maskedPaths、noNewPrivileges、capabilities 白名单。
3. seccomp 策略验证：确保容器未使用 unconfined seccomp 配置。
4. 特权模式阻断：禁止 privileged: true 容器通过准入。
5. 挂载点审计：禁止挂载宿主机 /proc、/sys、/dev 等敏感路径。
6. cgroup 限制校验：确保 pids.max、memory.limit 已设置合理上限。