type
status
date
slug
summary
category
tags
create_time
Aug 26, 2025 06:58 AM
icon
password
my_create_time
📝 前言
在 Kubernetes 集群中节点是工作负载运行的核心，而节点上最重要的组件之一便是 Container Runtime。
它负责真正管理和运行容器，是 Pod 能够启动和运行的关键环节。
在之前我们已经介绍了 kubelet 与 kube-proxy 的作用，那么本篇文章将聚焦于 Container Runtime，带你了解它在 Kubernetes 中扮演的角色及常见实现方式。
🧠 本章知识卡片
🚀 本章小节
1️⃣ 什么是 Container Runtime？
Container Runtime 是 Kubernetes 节点上的基础软件，主要职责是拉取镜像、创建并运行容器、管理容器生命周期，并为 kubelet 提供统一的接口支持。
在 Kubernetes 1.5 版本之前，Kubernetes 与具体 Runtime（如 Docker）高度耦合。
但从 Kubernetes 1.6 开始引入 CRI（Container Runtime Interface），通过 gRPC 实现与不同 Runtime 的解耦，使得 Kubernetes 可以支持多种实现。
通过 CRI， kubelet 能够使用各种容器运行时，无需重新编译集群组件。
2️⃣ 工作原理
Kubernetes 中的
kubelet 并不直接与具体 Runtime 交互，而是通过 CRI 插件与 Runtime 通信。典型的工作流程如下：
- 用户提交 Pod 对象到 API Server。
kubelet通过 API Server 获取调度到本节点的 Pod 信息。
kubelet调用 CRI 接口，请求 Runtime 拉取镜像、创建容器。
- Container Runtime 通过自身能力（如调用
containerd、CRI-O或底层runc）启动容器。
- 容器启动后，Runtime 将状态反馈给
kubelet，再上报给 API Server。
3️⃣ CRI 工作流程时序图
4️⃣ 常见实现
Kubernetes 目前支持的主流 Container Runtime 实现包括：
Runtime | 特点与适用场景 |
containerd | CNCF 毕业项目，轻量、稳定，默认被 Kubernetes 推荐使用。 |
CRI-O | 专为 Kubernetes 设计的 CRI 实现，兼容 OCI 标准。 |
Docker | 早期默认 Runtime，自 1.24 起逐步弃用，但可通过 dockershim 兼容。 |
gVisor / Kata Containers | 提供更强隔离性和安全性，适合多租户场景。 |
5️⃣ 配置与优化
在生产环境中 Container Runtime 的配置与调优至关重要：
- 日志管理：合理配置容器日志驱动（如 json-file、systemd-journald）。
- 存储优化：调整镜像存储目录，避免与系统盘竞争。
- 安全性：启用 Seccomp、AppArmor、SELinux，提升容器隔离。
- 网络集成：配合 CNI 插件，保证容器网络稳定性。
- 性能调优：配置合适的 cgroup 驱动（推荐
systemd），降低资源调度开销。
✅ 总结
Container Runtime 是 Kubernetes 节点的“发动机”，负责启动和管理容器，是 Pod 能够正常运行的关键。
借助 CRI，Kubernetes 成功解耦了与具体 Runtime 的依赖，使其能兼容多种实现。
在生产环境中选择合适的 Runtime 并进行性能与安全调优，是保障集群稳定运行的重要前提。
有关文章的任何疑问，欢迎您在底部评论区留言，一起交流~
若文章对您有帮助，欢迎 请我喝杯咖啡~
- 作者:青萍叙事
- 链接:https://blog.lusyoe.com/article/cri-intro
- 声明:本文采用 CC BY-NC-SA 4.0 许可协议，转载请注明出处。
