Awesome GitHub RepositoriesUser Namespace Mappings

This project is a secure container runtime that provides strong isolation for application workloads by implementing a userspace kernel. By intercepting system calls and executing them within a memory-safe, restricted environment, it minimizes the attack surface exposed to the host kernel. It functions as a drop-in engine for standard container orchestration platforms, ensuring compatibility with industry-standard runtime specifications while maintaining a hardened execution boundary. The runtime distinguishes itself through its ability to virtualize core system resources, including an indepen

Talos is a minimal, immutable Linux distribution designed specifically for deploying and managing Kubernetes clusters. It functions as an API-driven infrastructure manager that replaces traditional shell access with a declarative gRPC interface to control operating system state and configuration. The system is distinguished by its use of a read-only root filesystem and a security-hardened kernel, which removes standard GNU utilities to reduce the attack surface. It ensures environment consistency by distributing the operating system as versioned, signed images and utilizes TPM-backed verified

nerdctl is a command-line tool that manages containers and images using containerd as the runtime, providing a Docker-compatible interface for container lifecycle management. It supports running containers with the same command syntax and flags as Docker, including multi-container Compose workflows, and enables rootless container execution without host kernel escalation. The tool extends beyond basic container management with several advanced distribution and security capabilities. It can start containers before full image download by fetching only metadata and on-demand layers from eStargz-f

Runtipi is a home server dashboard and orchestration tool designed for deploying and managing containerized applications. It provides a web-based interface for discovering and installing software from a curated app store, utilizing a Docker Compose orchestrator to handle the deployment of self-hosted services. The system integrates a reverse proxy and SSL manager to route external traffic to internal containers, automating HTTPS certificate renewal and domain assignment. It also features a built-in backup and update manager that uses cron-based scheduling to perform automatic security patchin

kube-bench is a Kubernetes security benchmark scanner and configuration auditor. It verifies if a cluster adheres to the Center for Internet Security standards and other hardening guides to identify security misconfigurations and vulnerabilities. The tool operates as a containerized security scanner, utilizing host namespaces to analyze nodes and control plane components without requiring the installation of binaries directly on the host. It supports multiple Kubernetes distributions, applying environment-specific benchmarks to ensure auditing accuracy for managed services. The project cover

Bottles is a Wine compatibility manager and prefix manager that provides a graphical interface for running Windows applications on Linux. It functions as a Windows application sandbox and dependency manager, organizing isolated environments to prevent dependency conflicts and protect the host operating system. The project acts as a Wine runner orchestrator, allowing users to download, install, and switch between different compatibility layers and graphics renderers. It distinguishes itself by using community-driven scripts for automated software installation and dependency management, alongsi

SSHFS is a network filesystem client that maps remote server directories to local mount points. It functions as a userspace implementation of a filesystem, allowing users to access and manage remote files as if they were on a local disk using the SFTP protocol over SSH. The tool distinguishes itself by offering multiple transport options, including encrypted SSH tunnels for security and direct TCP socket connections to bypass encryption for higher throughput. It also supports connectivity via virtual sockets to access directories hosted inside virtual machines. The system includes capabiliti

Youki is an OCI container runtime written in Rust. It implements the Open Container Initiative runtime specification to manage the lifecycle of containerized processes and ensure compatibility with standard container images and engines. The runtime is designed for memory safety and supports rootless container execution, allowing containers to run as non-root users to reduce security risks and limit privilege escalation. It provides core container management capabilities, including spawning and managing OCI containers. This is achieved through Linux namespace isolation, cgroup-based resource

x11docker एक OCI कंटेनर GUI ऑर्केस्ट्रेटर और हार्डवेयर ब्रिज है, जिसे कंटेनरों के अंदर ग्राफिकल एप्लिकेशन और पूर्ण डेस्कटॉप वातावरण चलाने के लिए डिज़ाइन किया गया है। यह एक Linux GUI सैंडबॉक्स के रूप में कार्य करता है, जो कंटेनरीकृत प्रक्रियाओं को होस्ट X11 या Wayland डिस्प्ले सर्वर और ऑडियो सिस्टम से जोड़ता है। यह प्रोजेक्ट हार्डवेयर एक्सेलेरेशन के लिए गहरे सिस्टम इंटीग्रेशन, जैसे NVIDIA ड्राइवर ऑटोमेशन और GPU पासथ्रू, के साथ खुद को अलग बनाता है। यह क्रॉस-आर्किटेक्चर GUI एमुलेशन का समर्थन करता है और VNC, SSH फॉरवर्डिंग और ब्राउज़र-आधारित HTML5 रेंडरिंग के माध्यम से रिमोट एक्सेस क्षमताएं प्रदान करता है। यह टूल सुरक्षा के लिए यूजर-नेमस्पेस आइडेंटिटी मैपिंग, इंटर-प्रोसेस कम्युनिकेशन के लिए D-Bus सेशन ब्रिजिंग और बिडायरेक्शनल क्लिपबोर्ड सिंक्रोनाइज़ेशन जैसी व्यापक इंटीग्रेशन क्षमताएं प्रदान करता है। यह वेबकैम और प्रिंटर जैसे पेरिफेरल शेयरिंग के साथ-साथ इनिट सिस्टम और पर्सिस्टेंट स्टोरेज माउंटिंग का प्रबंधन भी करता है। यह सॉफ्टवेयर एक शेल-आधारित यूटिलिटी के रूप में लागू किया गया है जो Docker और Podman सहित कई OCI-अनुपालन बैकएंड का समर्थन करता है।

podman-compose is a command line tool and compose specification wrapper that translates YAML definitions into commands for the Podman container engine. It functions as a multi-container orchestrator that deploys application stacks without requiring a background daemon process. The tool enables rootless container management, allowing the execution of containerized applications and services without administrative privileges on the host. It translates high-level compose commands into individual shell calls to coordinate the deployment of multiple containers. The system manages container network

Bubblewrap is a Linux sandbox runner that creates lightweight, isolated execution environments for running untrusted applications. It combines Linux user, mount, network, PID, and UTS namespaces with seccomp-BPF system call filtering to restrict filesystem, network, process, and inter-process communication access. The project provides comprehensive process isolation by giving each sandbox its own private tmpfs root with selective bind-mounts, a separate network stack containing only a loopback interface, an independent process ID space, and remapped user and group identifiers. It applies secc

mergerfs is a FUSE-based union filesystem that pools multiple independent filesystems or directories into a single unified mount point. It acts as a proxy to underlying storage, forwarding file operations directly to the filesystem for near-native performance while merging directory listings and attribute changes. The project provides a live, read-write pooled view of storage that aggregates drives of any size without requiring reformatting or data redistribution, and it isolates individual drive failures so that the pool continues serving data from remaining filesystems. The filesystem offer

CRI-O is an open-source container runtime that implements the Kubernetes Container Runtime Interface (CRI) to manage container images, pods, and containers on cluster nodes using OCI-compatible runtimes. It serves as a node-level container manager that handles image pulling, container lifecycle, and resource monitoring for Kubernetes clusters, running containers according to the Open Container Initiative specifications. The runtime distinguishes itself through live configuration reloading that applies changes to runtime definitions, registry mirrors, and TLS certificates without restarting th

LXD is a unified platform for managing both system containers and virtual machines through a single REST API and command-line interface. It provides a programmatic HTTP interface for controlling the full lifecycle of instances, enabling automation and integration with external tools. The system runs unprivileged containers with per-instance UID/GID mappings, seccomp filters, and AppArmor profiles for kernel-level isolation, while supporting multiple storage backends including directory, Btrfs, LVM, ZFS, Ceph, LINSTOR, and TrueNAS through a unified driver interface. The platform distinguishes

LXC, एक OS-लेवल वर्चुअलाइजेशन फ्रेमवर्क और Linux कंटेनर मैनेजर है जिसका उपयोग एक ही होस्ट पर कई आइसोलेटेड Linux सिस्टम चलाने के लिए किया जाता है। यह एक कर्नल नेमस्पेस ऑर्केस्ट्रेटर और अनप्रिविलेज्ड कंटेनर रनटाइम के रूप में काम करता है, जो हाइपरवाइज़र के ओवरहेड के बिना सिस्टम कंटेनर्स के निर्माण और प्रबंधन की अनुमति देता है। प्रोजेक्ट होस्ट सिस्टम एक्सेस को रोकने के लिए कंटेनर रूट यूज़र्स को अनप्रिविलेज्ड होस्ट यूज़र्स से मैप करके अनप्रिविलेज्ड कंटेनर निष्पादन प्रदान करता है। यह सिस्टम कॉल फ़िल्टरिंग और रूट यूज़र आइसोलेशन के माध्यम से सुरक्षा सुनिश्चित करता है, जिससे कंटेनर्स को होस्ट रूट विशेषाधिकारों की आवश्यकता के बिना चलने में सक्षम बनाया जाता है। फ्रेमवर्क CPU और मेमोरी उपयोग को सीमित करने के लिए कंट्रोल ग्रुप्स का उपयोग करके रिसोर्स आइसोलेशन को मैनेज करता है और प्रोसेस व नेटवर्क आइसोलेशन के लिए कर्नल नेमस्पेस का उपयोग करता है।

Incus is a unified orchestration platform for managing system containers, OCI application containers, and virtual machines through a single control plane. It brings together cluster infrastructure management, secure multi-tenancy, software-defined networking, and pluggable storage backend orchestration into one cohesive system exposed via a full REST API and command-line interface. What distinguishes Incus is its ability to run multiple instance types side by side—full Linux system containers, OCI application containers, and QEMU virtual machines—all managed with consistent tooling. Networkin

CDK कंटेनर सुरक्षा ऑडिटिंग, कंटेनर एस्केप एक्सप्लॉइटेशन और क्लाउड इंफ्रास्ट्रक्चर पेंटेस्टिंग के लिए एक विशेष टूलसेट है। यह कंटेनर रनटाइम्स में कमजोरियों की पहचान करने और उनका फायदा उठाने के लिए डिज़ाइन किए गए स्क्रिप्ट्स और टूल्स का एक संग्रह प्रदान करता है ताकि आइसोलेटेड एनवायरनमेंट से बाहर निकला जा सके और अंतर्निहित होस्ट ऑपरेटिंग सिस्टम पर कमांड निष्पादित किए जा सकें। इस प्रोजेक्ट में Docker API, procfs और cgroups का दुरुपयोग करके अनधिकृत होस्ट-लेवल एक्सेस प्राप्त करने के लिए एक समर्पित Docker रनटाइम एक्सप्लॉइट सूट है। इसमें LXCFS, यूजर नेमस्पेस एक्सप्लॉइटेशन और होस्ट डिस्क माउंटिंग के माध्यम से आइसोलेशन को बायपास करने के लिए विशिष्ट तकनीकें शामिल हैं, साथ ही क्लस्टर एनवायरनमेंट में विशेषाधिकारों को बढ़ाने के लिए क्लाउड मेटाडेटा निकालने और सर्विस अकाउंट अनुमतियों का ऑडिट करने की क्षमताएं भी हैं। यह टूलकिट सुरक्षा ऑडिटिंग क्षमताओं की एक विस्तृत श्रृंखला को कवर करता है, जिसमें सीक्रेट एक्सफिल्ट्रेशन और पॉलिसी एनालिसिस के लिए Kubernetes क्लस्टर ऑडिटिंग, संवेदनशील फाइल और सर्विस स्कैनिंग, और होस्ट नेटवर्क शेयरिंग का पता लगाना शामिल है। यह रिवर्स शेल स्थापित करने, प्रतिबंधित एनवायरनमेंट में पेलोड तैनात करने और न्यूनतम कंटेनर्स के भीतर सिस्टम एडमिनिस्ट्रेशन टूल्स स्थापित करने के लिए यूटिलिटीज भी प्रदान करता है।

Dim is a self-hosted media server and manager designed to index and organize local media libraries for remote access and playback. It functions as a private web-based portal that allows users to stream locally stored video and audio content over a network. The system operates as a local media indexer that scans storage to structure and beautify collections, creating a consistent user interface for managing digital content. It uses metadata-driven beautification to enrich raw file lists into organized libraries. The application is deployed as a containerized service, utilizing static path map

Finch एक वर्चुअल मशीन-आधारित कंटेनर रनटाइम और OCI कंटेनर मैनेजमेंट CLI है जिसका उपयोग स्थानीय कंटेनर डेवलपमेंट के लिए किया जाता है। यह कंटेनर वर्कलोड्स को होस्ट ऑपरेटिंग सिस्टम से अलग करने के लिए उन्हें एक बैकग्राउंड वर्चुअल मशीन के अंदर चलाकर काम करता है। यह प्रोजेक्ट एक OCI इमेज बिल्डर और वर्कस्टेशन पर जटिल प्रोडक्शन एनवायरनमेंट को सिम्युलेट करने के लिए मल्टी-कंटेनर सर्विस ऑर्केस्ट्रेटर के रूप में कार्य करता है। यह रनटाइम एक क्रॉस-प्लेटफॉर्म कंटेनर इंजन के रूप में कार्य करता है, जो विदेशी CPU आर्किटेक्चर के लिए बनाई गई कंटेनर इमेजेस को निष्पादित करने के लिए एमुलेशन लेयर्स का उपयोग करता है। यह लेज़ी-लोडिंग सपोर्ट और सीकेबल इंडेक्स के निर्माण के माध्यम से अपने इमेज डिस्ट्रीब्यूशन को अलग करता है, जिससे कंटेनर पूरी इमेज पुल होने से पहले ही शुरू हो सकते हैं। यह प्रोजेक्ट OCI इमेज लाइफसाइकिल मैनेजमेंट, वर्चुअल मशीन रिसोर्स कॉन्फ़िगरेशन और मल्टी-कंटेनर एप्लिकेशन ऑर्केस्ट्रेशन सहित क्षमताओं की एक विस्तृत श्रृंखला को कवर करता है। यह नेटवर्क मैनेजमेंट, वॉल्यूम पर्सिस्टेंस और इमेज साइनिंग व वेरिफिकेशन के लिए टूल्स प्रदान करता है। इस सिस्टम में शेल ऑटो-कम्पलीशन के सपोर्ट और पुराने कंटेनर कमांड्स के साथ कम्पैटिबिलिटी वाला एक कमांड-लाइन इंटरफेस शामिल है।

This project provides containerized distribution templates and images for deploying a media server. It enables the operation of a media server within Docker or Kubernetes environments, utilizing package management charts to streamline installation and management of home cinema libraries. The project focuses on high-performance video processing through hardware accelerated transcoding, which is achieved by passing through graphics processing unit devices to the container. It ensures data persistence by mapping host directories for configuration databases and large-scale media libraries. The s