全7378文字
runc
OCIの仕様を実装したランタイムです。containerdやcri-oで利用されています。
gVisor
Googleが開発し、OSSとして公開しているOCI準拠のランタイムです。gVisorはユーザー空間カーネルとも呼ばれ、gVisorがコンテナとホストOSカーネルの間に入りシステムコールを受け渡します。従来のコンテナランタイムと異なり、コンテナからホストOSカーネルのシステムコールを直接呼び出せないようにすることで、セキュリティーを高めています。
Kata Container
OpenStack Foundationが開発し、OSSとして公開しているOCI準拠のランタイムです。軽量なハイパーバイザーを用いてコンテナを仮想マシン内で動作させ、コンテナはホストOSカーネルではなく各仮想マシンのゲストOSカーネルのシステムコールを呼び出す仕組みです。実装は異なるものの、gVisorと同じようにコンテナ間でホストOSカーネルを共有しない方法を採ることで、セキュリティーを確保しています。
Nabla Container
米IBMが開発しOSSとして公開しています。これもOCI準拠です。Unikernel（Solo5 Project）を応用し、ホストOSカーネルへのシステムコールを7つまでに制限するなど、セキュリティーのレベルは高いと言えます。一方で、Nabla Container向けにビルドされたコンテナイメージしか扱えないなど制約があります。
