Awesome GitHub RepositoriesOCI Runtime Implementations

Moby is an OCI container engine and runtime manager designed for building, running, and managing isolated containers based on Open Container Initiative standards. It functions as a container daemon and image builder, providing a core engine to orchestrate the full lifecycle of containers and the packaging of source code into portable images. The project provides a standardized HTTP interface that allows for programmatic container management, enabling external clients to control daemon settings and container operations. It supports a rootless security model, allowing the engine daemon to execu

Meshery is a service mesh management plane and cloud native infrastructure orchestrator. It provides a visual design-as-code environment for modeling microservices and infrastructure components through declarative blueprints, functioning as a centralized platform for designing, deploying, and managing service mesh infrastructure. The platform is distinguished by its ability to translate visual designs into active deployments and its use of gRPC-based adapters to integrate with diverse infrastructure providers. It features a multi-tenant architecture that manages shared workspaces and role-bas

rkt est un moteur de conteneur Linux sécurisé et un gestionnaire de conteneurs pod-native. Il fournit un environnement d'exécution composable pour lancer et gérer des conteneurs d'applications isolés sur Linux, servant de runtime conçu autour des standards industriels ouverts pour les formats d'image et les interfaces réseau. Le système se distingue par un modèle d'exécution pod-native qui regroupe plusieurs conteneurs et ressources partagées en unités uniques et autonomes. Il utilise des moteurs d'exécution enfichables pour fournir une isolation sécurisée, incluant l'utilisation de la virtualisation matérielle pour créer des frontières de sécurité entre le système hôte et les applications en cours d'exécution. Le projet couvre de larges capacités en gestion de conteneurs, incluant l'exécution d'images conformes OCI et la mise en réseau basée sur CNI. Il fournit également une intégration avec des orchestrateurs de clusters et des outils d'initialisation système pour gérer les charges de travail dans des environnements distribués.

Kata Containers is an OCI container runtime that launches containers inside lightweight virtual machines to combine hardware-level isolation with container operational speed. It functions as a hardware-isolated container engine and lightweight VM hypervisor, providing a virtual machine monitor interface that abstracts multiple hypervisors to optimize for performance or specific hardware emulation. The project distinguishes itself through a confidential computing runtime that leverages hardware-backed trusted execution environments, such as Intel TDX and AMD SEV-SNP, to protect data in use. It

Youki est un runtime de conteneur OCI écrit en Rust. Il implémente la spécification de runtime de l'Open Container Initiative pour gérer le cycle de vie des processus conteneurisés et assurer la compatibilité avec les images et moteurs de conteneurs standard. Le runtime est conçu pour la sécurité mémoire et prend en charge l'exécution de conteneurs rootless, permettant aux conteneurs de s'exécuter en tant qu'utilisateurs non-root pour réduire les risques de sécurité et limiter l'escalade de privilèges. Il fournit des capacités de gestion de conteneurs de base, incluant la création et la gestion de conteneurs OCI. Ceci est réalisé grâce à l'isolation par espaces de noms Linux (namespaces), la limitation des ressources basée sur les cgroups et le mappage des espaces de noms utilisateur pour partitionner les processus du système d'exploitation hôte.

Youki is a low-level container runtime written in Rust that creates and manages isolated containers according to Open Container Initiative specifications. It serves as an execution engine that can function as a rootless container manager or a pluggable Kubernetes CRI runtime to manage pods and containers within a cluster. The project distinguishes itself by providing a Wasm container runtime capable of executing WebAssembly modules as isolated workloads compatible with standard orchestration tools. It further supports a rootless execution model, allowing isolated environments to start as non-

x11docker est un orchestrateur d'interface graphique pour conteneurs OCI et un pont matériel conçu pour exécuter des applications graphiques et des environnements de bureau complets dans des conteneurs. Il fonctionne comme un bac à sable (sandbox) Linux GUI, reliant les processus conteneurisés aux serveurs d'affichage X11 ou Wayland et aux systèmes audio de l'hôte. Le projet se distingue par une intégration système poussée pour l'accélération matérielle, incluant l'automatisation des pilotes NVIDIA et le GPU passthrough. Il prend en charge l'émulation GUI multi-architecture et offre des capacités d'accès distant via VNC, transfert SSH et rendu HTML5 dans le navigateur. L'outil couvre un large éventail de capacités d'intégration, notamment le mappage d'identité par espaces de noms utilisateur pour la sécurité, le pontage de session D-Bus pour la communication inter-processus et la synchronisation bidirectionnelle du presse-papiers. Il gère également le partage de périphériques tels que webcams et imprimantes, ainsi que la gestion des systèmes init et le montage de stockage persistant. Le logiciel est implémenté sous forme d'utilitaire shell prenant en charge plusieurs backends conformes aux spécifications OCI, dont Docker et Podman.

CRI-O is an open-source container runtime that implements the Kubernetes Container Runtime Interface (CRI) to manage container images, pods, and containers on cluster nodes using OCI-compatible runtimes. It serves as a node-level container manager that handles image pulling, container lifecycle, and resource monitoring for Kubernetes clusters, running containers according to the Open Container Initiative specifications. The runtime distinguishes itself through live configuration reloading that applies changes to runtime definitions, registry mirrors, and TLS certificates without restarting th

Pouch est un runtime de conteneur Linux et un moteur de conteneur OCI conçu pour exécuter des applications conteneurisées. Il fonctionne comme un runtime de conteneur Kubernetes, s'intégrant aux orchestrateurs pour gérer le cycle de vie des pods et des environnements d'application isolés. Le projet dispose d'un système de distribution d'images peer-to-peer pour livrer de grandes images de conteneurs à travers des clusters à grande échelle tout en réduisant la charge de bande passante. Il prend également en charge les versions anciennes du noyau Linux, permettant aux runtimes de conteneurs modernes de maintenir la compatibilité avec du matériel plus ancien. Le runtime implémente l'isolation des applications en utilisant des sandboxes basées sur l'hyperviseur et l'isolation des ressources au niveau du noyau. Son architecture inclut un système de fichiers en couches et un système de gestion du cycle de vie basé sur des shims, garantissant la compatibilité avec les spécifications d'image et de runtime de l'Open Container Initiative.

crun est un runtime de conteneur bas niveau qui implémente la spécification Open Container Initiative pour gérer le cycle de vie des processus isolés. Il fournit les mécanismes fondamentaux pour la création, l'exécution et la suppression de conteneurs, assurant la compatibilité entre les plateformes grâce à une gestion standardisée du cycle de vie. Le projet se distingue en offrant une bibliothèque C partagée qui permet d'intégrer les opérations de runtime de conteneur directement dans d'autres applications compilées. Il étend davantage les capacités d'exécution via des gestionnaires spécialisés qui permettent le déploiement de conteneurs au sein de microVMs isolées ou l'exécution de charges de travail WebAssembly. Le runtime couvre un large éventail de capacités d'isolation bas niveau et de gestion des ressources. Cela inclut l'utilisation d'espaces de noms (namespaces) et de filtres seccomp pour la sécurité, de cgroups pour l'application des limites CPU et mémoire, et des outils pour sauvegarder et reprendre les états d'exécution des conteneurs via checkpoint et restore. Il fournit également des interfaces pour les mises à jour dynamiques des ressources, la gestion des montages et l'automatisation via une interface Lua intégrée.

Unikraft is a modular library operating system and unikernel framework designed to compile applications into minimal, bootable virtual machine images. It serves as an OCI-compliant image builder and a cloud-native hypervisor target, enabling the creation of specialized runtimes that include only the specific drivers and libraries required by a single application. The system features a Linux compatibility layer that maps standard API calls and POSIX standards to unikernel libraries, allowing unmodified binaries to run without a full general-purpose kernel. It distinguishes itself by allowing c