Awesome GitHub RepositoriesUser Namespace Mappings

This project is a secure container runtime that provides strong isolation for application workloads by implementing a userspace kernel. By intercepting system calls and executing them within a memory-safe, restricted environment, it minimizes the attack surface exposed to the host kernel. It functions as a drop-in engine for standard container orchestration platforms, ensuring compatibility with industry-standard runtime specifications while maintaining a hardened execution boundary. The runtime distinguishes itself through its ability to virtualize core system resources, including an indepen

Talos is a minimal, immutable Linux distribution designed specifically for deploying and managing Kubernetes clusters. It functions as an API-driven infrastructure manager that replaces traditional shell access with a declarative gRPC interface to control operating system state and configuration. The system is distinguished by its use of a read-only root filesystem and a security-hardened kernel, which removes standard GNU utilities to reduce the attack surface. It ensures environment consistency by distributing the operating system as versioned, signed images and utilizes TPM-backed verified

nerdctl is a command-line tool that manages containers and images using containerd as the runtime, providing a Docker-compatible interface for container lifecycle management. It supports running containers with the same command syntax and flags as Docker, including multi-container Compose workflows, and enables rootless container execution without host kernel escalation. The tool extends beyond basic container management with several advanced distribution and security capabilities. It can start containers before full image download by fetching only metadata and on-demand layers from eStargz-f

Runtipi is a home server dashboard and orchestration tool designed for deploying and managing containerized applications. It provides a web-based interface for discovering and installing software from a curated app store, utilizing a Docker Compose orchestrator to handle the deployment of self-hosted services. The system integrates a reverse proxy and SSL manager to route external traffic to internal containers, automating HTTPS certificate renewal and domain assignment. It also features a built-in backup and update manager that uses cron-based scheduling to perform automatic security patchin

kube-bench is a Kubernetes security benchmark scanner and configuration auditor. It verifies if a cluster adheres to the Center for Internet Security standards and other hardening guides to identify security misconfigurations and vulnerabilities. The tool operates as a containerized security scanner, utilizing host namespaces to analyze nodes and control plane components without requiring the installation of binaries directly on the host. It supports multiple Kubernetes distributions, applying environment-specific benchmarks to ensure auditing accuracy for managed services. The project cover

Bottles is a Wine compatibility manager and prefix manager that provides a graphical interface for running Windows applications on Linux. It functions as a Windows application sandbox and dependency manager, organizing isolated environments to prevent dependency conflicts and protect the host operating system. The project acts as a Wine runner orchestrator, allowing users to download, install, and switch between different compatibility layers and graphics renderers. It distinguishes itself by using community-driven scripts for automated software installation and dependency management, alongsi

SSHFS is a network filesystem client that maps remote server directories to local mount points. It functions as a userspace implementation of a filesystem, allowing users to access and manage remote files as if they were on a local disk using the SFTP protocol over SSH. The tool distinguishes itself by offering multiple transport options, including encrypted SSH tunnels for security and direct TCP socket connections to bypass encryption for higher throughput. It also supports connectivity via virtual sockets to access directories hosted inside virtual machines. The system includes capabiliti

Youki este un runtime de containere OCI scris în Rust. Acesta implementează specificația de runtime Open Container Initiative pentru a gestiona ciclul de viață al proceselor containerizate și a asigura compatibilitatea cu imaginile și motoarele de containere standard. Runtime-ul este conceput pentru siguranța memoriei și suportă execuția containerelor rootless, permițând containerelor să ruleze ca utilizatori non-root pentru a reduce riscurile de securitate și a limita escaladarea privilegiilor. Oferă capabilități de bază de gestionare a containerelor, inclusiv crearea și gestionarea containerelor OCI. Acest lucru este realizat prin izolarea namespace-urilor Linux, limitarea resurselor bazată pe cgroup și maparea namespace-urilor de utilizator pentru a partiționa procesele de sistemul de operare gazdă.

x11docker este un orchestrator de containere OCI cu interfață grafică și o punte hardware concepută pentru a rula aplicații grafice și medii desktop complete în interiorul containerelor. Acesta funcționează ca un sandbox Linux GUI, conectând procesele containerizate la serverele de afișare X11 sau Wayland și la sistemele audio ale gazdei. Proiectul se diferențiază prin integrarea profundă a sistemului pentru accelerare hardware, inclusiv automatizarea driverelor NVIDIA și GPU passthrough. Suportă emularea GUI cross-architecture și oferă capabilități de acces la distanță prin VNC, SSH forwarding și randare HTML5 în browser. Instrumentul acoperă o gamă largă de capabilități de integrare, inclusiv maparea identității prin user-namespace pentru securitate, bridging pentru sesiuni D-Bus pentru comunicarea între procese și sincronizarea bidirecțională a clipboard-ului. De asemenea, gestionează partajarea perifericelor precum camere web și imprimante, precum și gestionarea sistemelor init și montarea stocării persistente. Software-ul este implementat ca un utilitar bazat pe shell care suportă mai multe backend-uri compatibile OCI, inclusiv Docker și Podman.

podman-compose este un instrument în linie de comandă și un wrapper pentru specificația compose care traduce definițiile YAML în comenzi pentru motorul de containere Podman. Acesta funcționează ca un orchestrator multi-container care implementează stack-uri de aplicații fără a necesita un proces daemon în fundal. Instrumentul permite gestionarea containerelor fără drepturi de root (rootless), permițând executarea aplicațiilor și serviciilor containerizate fără privilegii administrative pe host. Acesta traduce comenzile compose de nivel înalt în apeluri shell individuale pentru a coordona deployment-ul mai multor containere. Sistemul gestionează rețelele de containere cu rezoluție de nume bazată pe DNS pentru a permite serviciilor să comunice prin adrese de rețea. De asemenea, gestionează provizionarea secvențială a serviciilor pe baza definițiilor de dependență și mapează permisiunile din spațiul utilizatorului către namespace-urile containerelor.

Bubblewrap is a Linux sandbox runner that creates lightweight, isolated execution environments for running untrusted applications. It combines Linux user, mount, network, PID, and UTS namespaces with seccomp-BPF system call filtering to restrict filesystem, network, process, and inter-process communication access. The project provides comprehensive process isolation by giving each sandbox its own private tmpfs root with selective bind-mounts, a separate network stack containing only a loopback interface, an independent process ID space, and remapped user and group identifiers. It applies secc

mergerfs is a FUSE-based union filesystem that pools multiple independent filesystems or directories into a single unified mount point. It acts as a proxy to underlying storage, forwarding file operations directly to the filesystem for near-native performance while merging directory listings and attribute changes. The project provides a live, read-write pooled view of storage that aggregates drives of any size without requiring reformatting or data redistribution, and it isolates individual drive failures so that the pool continues serving data from remaining filesystems. The filesystem offer

CRI-O is an open-source container runtime that implements the Kubernetes Container Runtime Interface (CRI) to manage container images, pods, and containers on cluster nodes using OCI-compatible runtimes. It serves as a node-level container manager that handles image pulling, container lifecycle, and resource monitoring for Kubernetes clusters, running containers according to the Open Container Initiative specifications. The runtime distinguishes itself through live configuration reloading that applies changes to runtime definitions, registry mirrors, and TLS certificates without restarting th

LXD is a unified platform for managing both system containers and virtual machines through a single REST API and command-line interface. It provides a programmatic HTTP interface for controlling the full lifecycle of instances, enabling automation and integration with external tools. The system runs unprivileged containers with per-instance UID/GID mappings, seccomp filters, and AppArmor profiles for kernel-level isolation, while supporting multiple storage backends including directory, Btrfs, LVM, ZFS, Ceph, LINSTOR, and TrueNAS through a unified driver interface. The platform distinguishes

LXC este un framework de virtualizare la nivel de OS și un manager de containere Linux utilizat pentru a rula mai multe sisteme Linux izolate pe un singur host. Funcționează ca un orchestrator de namespace-uri de kernel și un runtime de containere neprivilegiate, permițând crearea și gestionarea containerelor de sistem fără overhead-ul unui hypervisor. Proiectul oferă execuția containerelor neprivilegiate prin maparea utilizatorilor root ai containerului la utilizatori host neprivilegiați pentru a preveni accesul la sistemul host. Asigură securitatea prin filtrarea apelurilor de sistem și izolarea utilizatorului root, permițând containerelor să ruleze fără a necesita privilegii de root pe host. Framework-ul gestionează izolarea resurselor folosind control groups pentru a limita utilizarea CPU și a memoriei și utilizează namespace-uri de kernel pentru izolarea proceselor și a rețelei. Include capabilități pentru administrarea bridge-urilor de rețea pentru a preveni spoofing-ul adreselor și un API programatic pentru gestionarea ciclului de viață al containerului și executarea comenzilor administrative.

Incus is a unified orchestration platform for managing system containers, OCI application containers, and virtual machines through a single control plane. It brings together cluster infrastructure management, secure multi-tenancy, software-defined networking, and pluggable storage backend orchestration into one cohesive system exposed via a full REST API and command-line interface. What distinguishes Incus is its ability to run multiple instance types side by side—full Linux system containers, OCI application containers, and QEMU virtual machines—all managed with consistent tooling. Networkin

CDK este un set de instrumente specializat pentru auditul securității containerelor, exploatarea evadării din containere și pentesting-ul infrastructurii cloud. Acesta oferă o colecție de scripturi și instrumente concepute pentru a identifica și exploata vulnerabilitățile din runtime-urile containerelor pentru a ieși din mediile izolate și a executa comenzi pe sistemul de operare gazdă subiacent. Proiectul dispune de o suită dedicată de exploit-uri pentru runtime-ul Docker, destinată abuzării API-ului Docker, procfs și cgroups pentru a obține acces neautorizat la nivel de gazdă. Include tehnici specifice pentru ocolirea izolării prin LXCFS, exploatarea spațiilor de nume ale utilizatorilor și montarea discurilor gazdă, precum și capabilități pentru extragerea metadatelor cloud și auditarea permisiunilor conturilor de serviciu pentru escaladarea privilegiilor în medii de cluster. Toolkit-ul acoperă o gamă largă de capabilități de auditare a securității, inclusiv auditarea clusterelor Kubernetes pentru exfiltrarea secretelor și analiza politicilor, scanarea fișierelor și serviciilor sensibile și detectarea partajării rețelei gazdă. De asemenea, oferă utilitare pentru stabilirea de reverse shell-uri, implementarea de payload-uri în medii restricționate și instalarea de instrumente de administrare a sistemului în containere minimale.

Dim is a self-hosted media server and manager designed to index and organize local media libraries for remote access and playback. It functions as a private web-based portal that allows users to stream locally stored video and audio content over a network. The system operates as a local media indexer that scans storage to structure and beautify collections, creating a consistent user interface for managing digital content. It uses metadata-driven beautification to enrich raw file lists into organized libraries. The application is deployed as a containerized service, utilizing static path map

Finch is a virtual machine-based container runtime and OCI container management CLI used for local container development. It operates by running container workloads inside a background virtual machine to isolate them from the host operating system. The project serves as an OCI image builder and a multi-container service orchestrator for simulating complex production environments on a workstation. The runtime functions as a cross-platform container engine, utilizing emulation layers to execute container images built for foreign CPU architectures. It distinguishes its image distribution through

Acest proiect oferă șabloane de distribuție containerizate și imagini pentru implementarea unui server media. Acesta permite operarea unui server media în medii Docker sau Kubernetes, utilizând chart-uri de gestionare a pachetelor pentru a eficientiza instalarea și gestionarea bibliotecilor home cinema. Proiectul se concentrează pe procesarea video de înaltă performanță prin transcodare accelerată hardware, care este realizată prin passthrough-ul dispozitivelor GPU către container. Asigură persistența datelor prin maparea directoarelor gazdă pentru bazele de date de configurare și bibliotecile media la scară largă. Sistemul acoperă o gamă largă de capacități operaționale, inclusiv configurarea rețelei pentru modurile bridge sau host, rutarea ingress pentru maparea hostname-urilor externe și alinierea permisiunilor utilizatorilor pentru a gestiona accesul la fișiere. Include, de asemenea, mecanisme pentru autentificarea identității serverului folosind token-uri de revendicare și actualizări binare automate declanșate de tag-urile de imagine. Implementarea este susținută prin chart-uri Kubernetes Helm și imagini Docker.