runc

定义

runc 是一个轻量级的命令行工具，用于按照 OCI（开放容器倡议）运行时规范创建和运行容器。它源自 Docker 早期的 libcontainer 库，2015 年由 Docker 公司捐出，作为 OCI 运行时规范的参考实现。

原理

runc 接收一个包含根文件系统和 config.json 配置的“运行时捆绑包”，然后调用 Linux 内核能力完成容器创建：利用命名空间（namespaces）实现进程、网络、挂载点等资源的隔离，利用 cgroups 限制 CPU、内存等资源用量，并可配合 seccomp、SELinux、capabilities 等机制加固安全。

在技术栈中的位置

runc 属于“低级运行时”，通常不被用户直接使用，而是由 containerd、CRI-O 等高级运行时调用。Docker 和大多数 Kubernetes 集群里，每启动一个容器，最终都会由 runc 完成创建，之后 runc 进程即退出，容器进程交由 shim 托管。

意义

runc 的标准化使不同容器平台可以共享同一个底层执行组件，是容器生态互操作性的基石。