1. 课程导论：Containerd 运行时参数动态注入的背景、价值与课程目标

1.1 为什么需要运行时参数动态注入？

在云原生基础设施中，Containerd 作为 Kubernetes 最主流的容器运行时，承担着镜像拉取、容器生命周期管理、存储挂载等核心职责。传统运维模式下，Containerd 的启动参数、插件配置、日志级别等通常在 /etc/containerd/config.toml 中静态定义，重启后才能生效。这种模式在以下场景中暴露出严重短板：

• 故障排查：生产环境偶发容器启动失败，需要临时开启 debug 级别日志，但重启 Containerd 会导致所有运行中容器中断。
• 灰度验证：新版本镜像仓库需要切换 sandbox_image 或调整 registry.mirrors，无法只对部分节点生效。
• 性能调优：需要动态调整 oom_score、snapshotter 缓存大小等内核级参数，静态配置无法响应瞬时流量变化。
• 安全热修复：CVE 补丁要求临时禁用某类镜像拉取协议，静态修改配置并重启的窗口期过长。

1.2 动态注入的核心价值

1.3 技术实现路径概览

本课程将围绕以下三条技术路径展开，覆盖从原理到流水线集成的完整闭环：

1. Containerd 插件机制：利用 io.containerd.internal.v1.tracing、io.containerd.snapshotter.v1 等内置插件接口，通过 gRPC 反射实现运行时参数热加载。
2. Linux 动态链接器劫持：通过 LD_PRELOAD 注入共享库，拦截 Containerd 的配置读取函数，实现参数覆盖。
3. eBPF 内核级注入：使用 bpf_trace_printk 和 kprobe 挂载 Containerd 进程的关键系统调用，在内核态完成参数替换。

1.4 课程目标与学习路径

完成本课程后，你将具备以下能力：

• 原理层：深入理解 Containerd 配置加载链路、gRPC 插件注册机制、Linux 动态链接器工作原理及 eBPF 程序挂载点。
• 实现层：独立编写 Containerd 插件、LD_PRELOAD 共享库、eBPF C 程序，实现至少 5 种常见参数的动态注入。
• 集成层：将注入能力封装为 Helm Chart 或 Operator，集成到 Jenkins/GitLab CI/Argo Workflows 流水线中，实现参数变更的自动化测试与灰度发布。
• 生产级：掌握注入操作的熔断、回滚、审计与监控方案，确保动态注入不会引发节点级故障。

1.5 适用人群与前置知识

1.6 课程章节全景图

1.7 实验环境说明

本课程所有实验均基于以下标准化环境，确保学员可复现：

• 操作系统：Ubuntu 22.04 LTS（内核 5.15+，支持 eBPF CO-RE）
• Containerd 版本：v1.7.x（支持插件热加载）
• Kubernetes 版本：v1.28.x（使用 kind 或 k3s 搭建单节点集群）
• 编程语言：Go 1.21+（插件开发）、C11（LD_PRELOAD 共享库）、C + libbpf（eBPF 程序）
• CI/CD 工具：Jenkins + GitLab CI + Argo Workflows（三选一，课程提供对应流水线模板）