1. 容器运行时（单机）

Docker： C/S 架构，依赖 dockerd 后台守护进程与 Root 权限，适合个人桌面开发。

Podman： 无 Daemon、无 Root（Rootless）架构，零后台常驻，退出后仅留轻量 conmon 进程监控，安全性高，适合单机与生产运维。

2. K8s 生产集群底座

K8s 抛弃 Docker 后，直接通过 CRI 调用轻量高效的 containerd（或 CRI-O）负责拉取镜像与运行容器，无冗余组件。

3. 云原生镜像构建（Build）

不依赖 dockerd 和特权，避免 K8s 逃逸风险。

流水线使用 Buildah 或 Kaniko 在无特权沙箱 Pod 内读取 Dockerfile，安全打包并推送镜像至仓库。

4. CI/CD 自动化与调度架构

系统分工： K8s 本身不管 CI/CD，需单独部署 Jenkins、GitLab CI 或 Argo CD 等工具。

工具 vs 流水线： 工具是运行引擎，流水线是定义的 YAML 剧本（测试 → 构建 → 部署）。

弹性调度： 常驻轻量主控（如 Jenkins Master）通过 Webhook 监听 Git 提交；收到通知后动态创建临时构建 Pod（含 Kaniko/Buildah），打包推仓完成后立即销毁 Pod，极致节省集群资源。