先定威胁模型

  • 是防误操作，还是防恶意租户？
  • 是否允许共享内核？
  • 对启动时延和系统调用开销的容忍度是多少？

运行时差异

  • runc：性能好，隔离依赖内核机制。
  • gVisor：用户态内核增强隔离，系统调用开销更高。
  • Kata：轻量虚机隔离最强，资源成本更高。

选型策略

  1. 多租户高风险工作负载优先强隔离。
  2. 延迟敏感服务优先低开销运行时。
  3. 按命名空间/节点池分层部署，不搞一刀切。

小结

运行时选型不是“最安全”或“最快”二选一，而是基于威胁模型、合规要求和性能预算做分层治理。