Awesome GitHub RepositoriesUID/GID Remapping

Bubblewrap is a Linux sandbox runner that creates lightweight, isolated execution environments for running untrusted applications. It combines Linux user, mount, network, PID, and UTS namespaces with seccomp-BPF system call filtering to restrict filesystem, network, process, and inter-process communication access. The project provides comprehensive process isolation by giving each sandbox its own private tmpfs root with selective bind-mounts, a separate network stack containing only a loopback interface, an independent process ID space, and remapped user and group identifiers. It applies secc

mergerfs is a FUSE-based union filesystem that pools multiple independent filesystems or directories into a single unified mount point. It acts as a proxy to underlying storage, forwarding file operations directly to the filesystem for near-native performance while merging directory listings and attribute changes. The project provides a live, read-write pooled view of storage that aggregates drives of any size without requiring reformatting or data redistribution, and it isolates individual drive failures so that the pool continues serving data from remaining filesystems. The filesystem offer

CRI-O is an open-source container runtime that implements the Kubernetes Container Runtime Interface (CRI) to manage container images, pods, and containers on cluster nodes using OCI-compatible runtimes. It serves as a node-level container manager that handles image pulling, container lifecycle, and resource monitoring for Kubernetes clusters, running containers according to the Open Container Initiative specifications. The runtime distinguishes itself through live configuration reloading that applies changes to runtime definitions, registry mirrors, and TLS certificates without restarting th

LXD is a unified platform for managing both system containers and virtual machines through a single REST API and command-line interface. It provides a programmatic HTTP interface for controlling the full lifecycle of instances, enabling automation and integration with external tools. The system runs unprivileged containers with per-instance UID/GID mappings, seccomp filters, and AppArmor profiles for kernel-level isolation, while supporting multiple storage backends including directory, Btrfs, LVM, ZFS, Ceph, LINSTOR, and TrueNAS through a unified driver interface. The platform distinguishes

LXC هو إطار عمل افتراضي على مستوى نظام التشغيل ومدير حاويات Linux يستخدم لتشغيل أنظمة Linux معزولة متعددة على مضيف واحد. يعمل كمنسق لمساحات أسماء النواة ووقت تشغيل حاوية غير مميز، مما يسمح بإنشاء وإدارة حاويات النظام دون تكاليف إضافية للمراقب (hypervisor). يوفر المشروع تنفيذ حاوية غير مميز عن طريق تعيين مستخدمي جذر الحاوية لمستخدمي مضيف غير مميزين لمنع الوصول إلى نظام المضيف. يضمن الأمان من خلال تصفية استدعاءات النظام وعزل مستخدم الجذر، مما يمكن الحاويات من العمل دون الحاجة إلى امتيازات جذر المضيف. يدير إطار العمل عزل الموارد باستخدام مجموعات التحكم (cgroups) لتقييم استخدام CPU والذاكرة ويستخدم مساحات أسماء النواة لعزل العمليات والشبكة. يتضمن قدرات لإدارة جسر الشبكة لمنع انتحال العنوان وواجهة برمجة تطبيقات برمجية لإدارة دورة حياة الحاوية وتنفيذ الأوامر الإدارية.

Incus is a unified orchestration platform for managing system containers, OCI application containers, and virtual machines through a single control plane. It brings together cluster infrastructure management, secure multi-tenancy, software-defined networking, and pluggable storage backend orchestration into one cohesive system exposed via a full REST API and command-line interface. What distinguishes Incus is its ability to run multiple instance types side by side—full Linux system containers, OCI application containers, and QEMU virtual machines—all managed with consistent tooling. Networkin

يوفر هذا المشروع قوالب توزيع وصوراً معتمدة على الحاويات لنشر خادم وسائط. يتيح تشغيل خادم وسائط داخل بيئات Docker أو Kubernetes، باستخدام مخططات إدارة الحزم لتبسيط تثبيت وإدارة مكتبات السينما المنزلية. يركز المشروع على معالجة الفيديو عالية الأداء من خلال التحويل البرمجي المسرّع بالأجهزة، والذي يتم تحقيقه عن طريق تمرير أجهزة وحدة معالجة الرسومات إلى الحاوية. ويضمن استمرارية البيانات عن طريق تعيين أدلة المضيف لقواعد بيانات التكوين ومكتبات الوسائط واسعة النطاق. يغطي النظام مجموعة واسعة من الإمكانيات التشغيلية، بما في ذلك تكوين الشبكة لأوضاع الجسر أو المضيف، وتوجيه الدخول (Ingress) لتعيين اسم المضيف الخارجي، ومحاذاة أذونات المستخدم لإدارة الوصول إلى الملفات. كما يتضمن آليات لمصادقة هوية الخادم باستخدام رموز المطالبة والتحديثات الثنائية الآلية التي يتم تشغيلها بواسطة علامات الصور. يتم دعم النشر من خلال مخططات Kubernetes Helm وصور Docker.

The project provides an open container runtime specification and standardized schema for defining container configurations, namespaces, resource limits, security policies, and filesystem mounts across platforms. It outlines the formal configuration formats, lifecycle operations, and execution environments necessary for portable, isolated container workloads. The specification covers container lifecycle management protocols and structured rules governing container creation, execution startup, process signaling, state tracking, and resource teardown. It standardizes local bundle packaging and

Sysbox is an OCI-compliant container runtime that provides virtual-machine-level isolation for containers without requiring hardware virtualization. It achieves this by mapping the container's root user to an unprivileged host user ID range, virtualizing the /proc and /sys filesystems, and applying seccomp-BPF system call filtering, all while using cgroup v2 for resource partitioning. The runtime enables running system-level software such as systemd, Docker, and Kubernetes inside unprivileged containers without requiring special images or privileged mode. It supports nested namespace stacking

RootlessKit is a tool for running container workloads and isolated process trees securely as a standard non-privileged user without holding root access on the host. It creates unprivileged user and mount namespaces to simulate fake root execution environments, allowing users to execute container workloads and manage resource groups safely. The project provides capabilities for rootless port forwarding and unprivileged network namespace isolation, routing container network traffic through user-mode packet translation without requiring privileged kernel setup. It includes multiple backend netwo