containerd 采用多进程模型（containerd+独立shim）提升容错性，而Docker Engine单体进程崩溃会导致全集群容器失控；生产中须禁用docker.sock直连、校验runc版本兼容性、预加载SELinux策略、Windows容器优先使用process隔离，并警惕runtime升级导致的配置回退。
containerd 与 Docker Engine 在生产环境的进程模型差异
直接决定崩溃传播范围：Docker Engine 是单体进程，dockerd 崩溃会导致所有容器不可控；containerd 则拆分为 containerd（管理面）、containerd-shim（每个容器独立进程）两级。哪怕某个 shim 进程被 OOM kill 或 panic，其余容器不受影响。
实操建议：
- 检查当前运行时进程树：
ps auxf | grep -E "(dockerd|containerd|shim)"，确认是否为多 shim 模型 - Kubernetes 集群必须禁用
docker.sock直连方式，改用 CRI 接口对接containerd - 若仍用 Docker Engine，务必配置
live-restore: true，否则systemctl restart docker会强制 stop 所有容器
runC 版本不匹配引发的 invalid argument 容器启动失败
这是生产环境中最隐蔽的稳定性雷区：containerd 默认捆绑特定版本的 runC，但若手动升级或混用第三方 runC（如 crun），可能因 OCI 规范解析差异导致 failed to create container: invalid argument —— 错误信息完全不提示根源是 runC。
排查路径：
- 查 containerd 实际调用的 runC：
containerd config dump | grep -A5 'runc' - 验证 runC 兼容性：
sudo runc --version输出需与 containerd 发布页标注的 tested runc 版本一致（例如 containerd 1.7.x 对应 runc v1.1.12） - 禁止在节点上共存多个
runc二进制并依赖 PATH 查找；必须显式在/etc/containerd/config.toml中指定runtime_type = "io.containerd.runc.v2"并确认无自定义binary_name覆盖
cri-o 的 SELinux 策略加载时机导致 Pod 启动卡死
在 RHEL/CentOS 8+ 或启用了 SELinux 的发行版上，cri-o 默认启用 selinux_enabled = true，但它会在每个 Pod 启动时动态加载策略模块。若节点上已有大量容器或策略冲突，load_policy 调用可能阻塞数秒甚至超时，表现为 Pod 长时间处于 ContainerCreating 状态，且 kubectl describe pod 中无明确错误。
关键对策：
- 提前预编译策略：
sudo semodule -i /usr/share/containers/selinux/containers.cil，避免运行时加载 - 确认 cri-o 配置中
selinux_opt = ["disable"]不要误写成["disabled"]（后者无效） - 对比测试：相同负载下，cri-o + SELinux 开启 vs containerd + SELinux 关闭，前者平均 Pod 启动延迟高 300–800ms，高并发场景下易触发 kubelet 的
PodStartTimeout（默认 30s）
Windows Container Runtime 必须使用 process-isolation 模式
Windows 节点上若用 hyperv-isolation 模式跑生产容器，每次启动都需拉起轻量虚拟机，内存开销 >500MB、启动耗时 >15s，且 Windows Update 后常因内核模块不兼容导致 The container operating system does not match the host operating system。
正确做法：
- 只对确实需要内核隔离的场景（如多租户 untrusted workload）启用
hyperv；绝大多数 .NET Core / IIS 应用应设为process模式 - 确认镜像 base OS 版本与宿主机完全一致，例如宿主机是 Windows Server 2022 20348.2847，则镜像必须基于
mcr.microsoft.com/windows/servercore:ltsc2022且 patch level 匹配 - PowerShell 中检查隔离模式：
Get-ContainerImage | fl Name,OsVersion,Isolation，避免出现Isolation : default这种模糊值
config.toml 中未显式声明的字段会回退到新版本默认值，比如 oom_score_adj 默认从 -999 变为 0，可能让关键容器在内存压力下比系统进程更早被 kill。 
