runc（runC） とは？

Dockerはイメージの取得やコンテナの管理などを提供する仕組みだよ。runcは、その中でもLinux上でコンテナのプロセスを実際に起動する低レベルの担当なんだ。Dockerとcontainerdを組み合わせた構成では、その下でruncなどのOCIランタイムが使われるよ。

OCIバンドルという、config.jsonとルートファイルシステムなどを用意したものだよ。設定には実行するコマンドや環境変数などが入る。runc specは設定のひな形を作るコマンドで、設定ファイル名がspec.jsonという意味ではないんだ。

設定に応じてnamespaceで見えるプロセスやネットワークなどを分け、cgroupsで資源の制限などを扱うよ。その環境でプロセスを起動するんだ。設定や権限が大切で、コンテナにしただけで仮想マシンと同じ分離や完全な安全性が得られるわけではないよ。

containerdはイメージの転送や保存、コンテナの実行・監視などを管理する上位の仕組みだよ。runcはOCI設定に基づく作成や起動などを担当する。上位との間にはshimという仲介プロセスを使う構成もあるので、図の矢印は役割を簡略化したものだよ。

通常の開発ではDockerやPodmanなどの上位ツールを使うことが多いよ。runcを直接使うのは、ランタイムの動作確認やトラブル調査などの目的がある場合だね。KubernetesやPodmanが必ずruncを使うというわけでもなく、別のランタイムを選ぶ構成もあるよ。