KubernetesのRuntimeClass入門: 基本概念と設定方法

**この記事では、Kubernetesの「RuntimeClass」について、初級者から中級者向けに基本的な概念と使い方を解説します。** RuntimeClassはコンテナ実行時のランタイム環境を切り替えるための機能であり、コンテナのセキュリティ強化やパフォーマンス調整に役立ちます ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=RuntimeClass%E3%81%AF%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%81%AE%E8%A8%AD%E5%AE%9A%E3%82%92%E9%81%B8%E6%8A%9E%E3%81%99%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AE%E6%A9%9F%E8%83%BD%E3%81%A7%E3%81%99%E3%80%82%E3%81%9D%E3%81%AE%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E8%A8%AD%E5%AE%9A%E3%81%AFPod%E3%81%AE%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E3%82%92%E7%A8%BC%E5%83%8D%E3%81%95%E3%81%9B%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AB%E4%BD%BF%E3%82%8F%E3%82%8C%E3%81%BE%E3%81%99%E3%80%82))。以下では、RuntimeClassとは何か、その利用シーン、Kubernetesクラスタでの設定方法（YAMLのコードサンプル付き）、適用方法とデバッグのポイントについて説明します。最後に上級者向けコラムとして、gVisorやKata Containersなどの高度な活用例にも触れます。

## RuntimeClassとは何か？

**RuntimeClass（ランタイムクラス）** とは、KubernetesにおいてPodが使用するコンテナランタイムの設定を選択するための機能です ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=RuntimeClass%E3%81%AF%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%81%AE%E8%A8%AD%E5%AE%9A%E3%82%92%E9%81%B8%E6%8A%9E%E3%81%99%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AE%E6%A9%9F%E8%83%BD%E3%81%A7%E3%81%99%E3%80%82%E3%81%9D%E3%81%AE%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E8%A8%AD%E5%AE%9A%E3%81%AFPod%E3%81%AE%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E3%82%92%E7%A8%BC%E5%83%8D%E3%81%95%E3%81%9B%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AB%E4%BD%BF%E3%82%8F%E3%82%8C%E3%81%BE%E3%81%99%E3%80%82))。通常、Kubernetesの各ノード（ワーカーノード）はDockerやcontainerdなどのコンテナランタイムを使ってPod内のコンテナを起動します。RuntimeClassを利用すると、Podごとに異なるコンテナランタイムや実行環境を指定できるようになります。  

具体的には、RuntimeClassはKubernetesのリソースオブジェクト（`RuntimeClass`リソース）として定義され、**`spec.handler`（ハンドラー）** という名前でコンテナランタイムの種類や設定を指し示します ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=2))。Podの定義（PodManifest）の中でRuntimeClass名を指定すると、kubelet（ノード上でPodを起動するエージェント）はそのRuntimeClassに対応するコンテナランタイムでPodのコンテナを実行します ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=%E3%81%93%E3%82%8C%E3%81%AF%E3%80%81kubelet%E3%81%AB%E5%AF%BE%E3%81%97%E3%81%A6Pod%E3%82%92%E7%A8%BC%E5%83%8D%E3%81%95%E3%81%9B%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AERuntimeClass%E3%82%92%E4%BD%BF%E3%81%86%E3%82%88%E3%81%86%E3%81%AB%E6%8C%87%E7%A4%BA%E3%81%97%E3%81%BE%E3%81%99%E3%80%82%E3%82%82%E3%81%97%E8%A8%AD%E5%AE%9A%E3%81%95%E3%82%8C%E3%81%9FRuntimeClass%E3%81%8C%E5%AD%98%E5%9C%A8%E3%81%97%E3%81%AA%E3%81%84%E5%A0%B4%E5%90%88%E3%82%84%E3%80%81%20CRI%E3%81%8C%E5%AF%BE%E5%BF%9C%E3%81%99%E3%82%8B%E3%83%8F%E3%83%B3%E3%83%89%E3%83%A9%E3%83%BC%E3%82%92%E5%AE%9F%E8%A1%8C%E3%81%A7%E3%81%8D%E3%81%AA%E3%81%84%E5%A0%B4%E5%90%88%E3%80%81%E3%81%9D%E3%81%AEPod%E3%81%AF%20,%E3%82%A8%E3%83%A9%E3%83%BC%E3%83%A1%E3%83%83%E3%82%BB%E3%83%BC%E3%82%B8%E3%81%AB%E9%96%A2%E3%81%97%E3%81%A6%E3%81%AF%E5%AF%BE%E5%BF%9C%E3%81%99%E3%82%8B%20320%E3%82%92%E5%8F%82%E7%85%A7%E3%81%97%E3%81%A6%E4%B8%8B%E3%81%95%E3%81%84%E3%80%82))。もしRuntimeClassが指定されない場合、従来通りデフォルトのランタイム（通常は標準的なruncなど）が使われます ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=%E3%82%82%E3%81%97%20))。

## どのような場面で利用されるのか？

**RuntimeClassの主な利用シーンは、「ワークロードごとに異なるコンテナランタイムを使い分けたい場合」** です。これにより、**性能とセキュリティのトレードオフを調整**できます。例えば、あるPodにはできるだけオーバーヘッドの少ない通常のランタイム（runcなど）を使って高いパフォーマンスを確保し、別の機密性の高いPodには仮想化技術を用いたサンドボックス型ランタイムを使ってセキュリティを強化する、といった運用が可能です ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=%E7%95%B0%E3%81%AA%E3%82%8BPod%E3%81%AB%E7%95%B0%E3%81%AA%E3%82%8BRuntimeClass%E3%82%92%E8%A8%AD%E5%AE%9A%E3%81%99%E3%82%8B%E3%81%93%E3%81%A8%E3%81%A7%E3%80%81%E3%83%91%E3%83%95%E3%82%A9%E3%83%BC%E3%83%9E%E3%83%B3%E3%82%B9%E3%81%A8%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%81%AE%E3%83%90%E3%83%A9%E3%83%B3%E3%82%B9%E3%82%92%E3%81%A8%E3%82%8B%E3%81%93%E3%81%A8%E3%81%8C%E3%81%A7%E3%81%8D%E3%81%BE%E3%81%99%E3%80%82%E4%BE%8B%E3%81%88%E3%81%B0%E3%80%81%E3%83%AF%E3%83%BC%E3%82%AF%E3%83%AD%E3%83%BC%E3%83%89%E3%81%AE%E4%B8%80%E9%83%A8%E3%81%AB%E9%AB%98%E3%83%AC%E3%83%99%E3%83%AB%E3%81%AE%20%E6%83%85%E5%A0%B1%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E4%BF%9D%E8%A8%BC%E3%81%8C%E5%BF%85%E8%A6%81%E3%81%AA%E5%A0%B4%E5%90%88%E3%80%81%E3%83%8F%E3%83%BC%E3%83%89%E3%82%A6%E3%82%A7%E3%82%A2%E4%BB%AE%E6%83%B3%E5%8C%96%E3%82%92%E4%BD%BF%E7%94%A8%E3%81%99%E3%82%8B%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%81%A7%E5%AE%9F%E8%A1%8C%E3%81%95%E3%82%8C%E3%82%8B%E3%82%88%E3%81%86%E3%81%AB%E3%81%9D%E3%82%8C%E3%82%89%E3%81%AEPod%E3%82%92%E3%82%B9%E3%82%B1%E3%82%B8%E3%83%A5%E3%83%BC%E3%83%AB%E3%81%99%E3%82%8B%E3%81%93%E3%81%A8%E3%82%92%E9%81%B8%E6%8A%9E%E3%81%A7%E3%81%8D%E3%81%BE%E3%81%99%E3%80%82%E3%81%9D%E3%81%AE%E5%BE%8C%E3%80%81%E8%BF%BD%20%E5%8A%A0%E3%81%AE%E3%82%AA%E3%83%BC%E3%83%90%E3%83%BC%E3%83%98%E3%83%83%E3%83%89%E3%82%92%E7%8A%A0%E7%89%B2%E3%81%AB%E3%81%97%E3%81%A6%E3%80%81%E4%BB%A3%E6%9B%BF%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%82%92%E3%81%95%E3%82%89%E3%81%AB%E5%88%86%E9%9B%A2%E3%81%99%E3%82%8B%E3%81%93%E3%81%A8%E3%81%A7%E3%83%A1%E3%83%AA%E3%83%83%E3%83%88%E3%81%8C%E5%BE%97%E3%82%89%E3%82%8C%E3%81%BE%E3%81%99%E3%80%82))。実際にRuntimeClassを使うことで、**必要に応じて一部のPodだけをより厳重に隔離された環境で動作させる**ことができます。  

また、RuntimeClassは「異なるランタイム実装」の切り替えだけでなく、**同じランタイムでも設定を変えて使い分ける**場合にも有用です ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=%E7%95%B0%E3%81%AA%E3%82%8BPod%E3%81%AB%E7%95%B0%E3%81%AA%E3%82%8BRuntimeClass%E3%82%92%E8%A8%AD%E5%AE%9A%E3%81%99%E3%82%8B%E3%81%93%E3%81%A8%E3%81%A7%E3%80%81%E3%83%91%E3%83%95%E3%82%A9%E3%83%BC%E3%83%9E%E3%83%B3%E3%82%B9%E3%81%A8%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%81%AE%E3%83%90%E3%83%A9%E3%83%B3%E3%82%B9%E3%82%92%E3%81%A8%E3%82%8B%E3%81%93%E3%81%A8%E3%81%8C%E3%81%A7%E3%81%8D%E3%81%BE%E3%81%99%E3%80%82%E4%BE%8B%E3%81%88%E3%81%B0%E3%80%81%E3%83%AF%E3%83%BC%E3%82%AF%E3%83%AD%E3%83%BC%E3%83%89%E3%81%AE%E4%B8%80%E9%83%A8%E3%81%AB%E9%AB%98%E3%83%AC%E3%83%99%E3%83%AB%E3%81%AE%20%E6%83%85%E5%A0%B1%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E4%BF%9D%E8%A8%BC%E3%81%8C%E5%BF%85%E8%A6%81%E3%81%AA%E5%A0%B4%E5%90%88%E3%80%81%E3%83%8F%E3%83%BC%E3%83%89%E3%82%A6%E3%82%A7%E3%82%A2%E4%BB%AE%E6%83%B3%E5%8C%96%E3%82%92%E4%BD%BF%E7%94%A8%E3%81%99%E3%82%8B%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%81%A7%E5%AE%9F%E8%A1%8C%E3%81%95%E3%82%8C%E3%82%8B%E3%82%88%E3%81%86%E3%81%AB%E3%81%9D%E3%82%8C%E3%82%89%E3%81%AEPod%E3%82%92%E3%82%B9%E3%82%B1%E3%82%B8%E3%83%A5%E3%83%BC%E3%83%AB%E3%81%99%E3%82%8B%E3%81%93%E3%81%A8%E3%82%92%E9%81%B8%E6%8A%9E%E3%81%A7%E3%81%8D%E3%81%BE%E3%81%99%E3%80%82%E3%81%9D%E3%81%AE%E5%BE%8C%E3%80%81%E8%BF%BD%20%E5%8A%A0%E3%81%AE%E3%82%AA%E3%83%BC%E3%83%90%E3%83%BC%E3%83%98%E3%83%83%E3%83%89%E3%82%92%E7%8A%A0%E7%89%B2%E3%81%AB%E3%81%97%E3%81%A6%E3%80%81%E4%BB%A3%E6%9B%BF%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%82%92%E3%81%95%E3%82%89%E3%81%AB%E5%88%86%E9%9B%A2%E3%81%99%E3%82%8B%E3%81%93%E3%81%A8%E3%81%A7%E3%83%A1%E3%83%AA%E3%83%83%E3%83%88%E3%81%8C%E5%BE%97%E3%82%89%E3%82%8C%E3%81%BE%E3%81%99%E3%80%82))。例えば、同じcontainerdランタイムでもセキュリティ強化のオプションを有効にした設定と、デフォルト設定の2種類をRuntimeClassとして登録し、ワークロードに応じて使い分けることができます。これにより、開発者は詳細なランタイム設定の違いを意識することなく、あらかじめ用意された「クラス」を選ぶ感覚で最適な実行環境を選択できます ([enhancements/keps/sig-node/585-runtime-class/README.md at master · kubernetes/enhancements · GitHub](https://github.com/kubernetes/enhancements/blob/master/keps/sig-node/585-runtime-class/README.md#:~:text=,gritty%20details)) ([enhancements/keps/sig-node/585-runtime-class/README.md at master · kubernetes/enhancements · GitHub](https://github.com/kubernetes/enhancements/blob/master/keps/sig-node/585-runtime-class/README.md#:~:text=type%20RuntimeClassSpec%20struct%20,%2Boptional%20RuntimeHandler%20string))。

RuntimeClassはKubernetes 1.20でStable（安定版）機能となっており、現在の多くのKubernetes環境でデフォルトで使用可能です ([Runtime Class | Kubernetes](https://kubernetes.io/docs/concepts/containers/runtime-class/#:~:text=FEATURE%20STATE%3A%20%60Kubernetes%20v1.20%20))。

## RuntimeClassの設定方法

それでは、実際にKubernetesクラスタでRuntimeClassを設定し利用する手順を説明します。大まかな流れは以下のとおりです ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=1)) ([〖 更新者も必見 〗 CKS 攻略ガイド ( 2023 年 6 月版 )](https://zenn.dev/cloud_ace/articles/26aa0e5ee9d825#:~:text=gvisor%20%E3%82%84%20Kata%20%E3%81%A8%E3%81%84%E3%81%A3%E3%81%9F%E4%BD%8E%E3%83%AC%E3%83%99%E3%83%AB%E3%81%AE%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%82%92%20Kubernetes,%E3%81%AB%E3%81%A6%E6%8C%87%E5%AE%9A%E3%81%99%E3%82%8B%E5%BF%85%E8%A6%81%E3%81%8C%E3%81%82%E3%82%8A%E3%81%BE%E3%81%99%E3%80%82%20%E3%82%82%E3%81%A1%E3%82%8D%E3%82%93%E4%BA%8B%E5%89%8D%E3%81%AB%E3%83%8E%E3%83%BC%E3%83%89%E3%81%B8%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%82%92%E3%82%A4%E3%83%B3%E3%82%B9%E3%83%88%E3%83%BC%E3%83%AB%E3%81%99%E3%82%8B%E5%BF%85%E8%A6%81%E3%82%82%E3%81%82%E3%82%8A%E3%81%BE%E3%81%99%E3%81%8C%E3%80%81%E8%A9%A6%E9%A8%93%E3%81%A7%E3%81%AF%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E8%87%AA%E4%BD%93%E3%81%AE%E3%82%A4%E3%83%B3%E3%82%B9%E3%83%88%E3%83%BC%E3%83%AB%E3%81%BE%E3%81%A7%E3%81%A7%E3%81%8D%E3%82%8B%E5%BF%85%E8%A6%81%E3%81%AF%E3%81%AA%E3%81%8F%E3%80%81runtimeClass%20%E3%82%92%E4%BD%9C%E6%88%90%E3%81%97%E3%81%A6%20Pod%20%E3%81%A7%E6%8C%87%E5%AE%9A%E3%81%A7%E3%81%8D%E3%82%8B%E3%82%88%E3%81%86%E3%81%AB%E3%81%97%E3%81%A6%E3%81%8A%E3%81%8D%E3%81%BE%E3%81%97%E3%82%87%E3%81%86%E3%80%82)):

1. **ノード側でランタイム環境を準備する** – 利用したいコンテナランタイム（例えばgVisorやKata Containersなど）を各ノードにインストールし、Container Runtime Interface (CRI)の設定を行います。これはクラスタ管理者がノード上のcontainerdやCRI-Oの設定ファイルにランタイムを登録する作業です。 *（本記事では詳細なノード設定手順は割愛しますが、runtimeClassを使うには**事前に各ノードに対応するランタイムを導入しておく必要がある**点に注意してください ([〖 更新者も必見 〗 CKS 攻略ガイド ( 2023 年 6 月版 )](https://zenn.dev/cloud_ace/articles/26aa0e5ee9d825#:~:text=gvisor%20%E3%82%84%20Kata%20%E3%81%A8%E3%81%84%E3%81%A3%E3%81%9F%E4%BD%8E%E3%83%AC%E3%83%99%E3%83%AB%E3%81%AE%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%82%92%20Kubernetes,%E3%81%AB%E3%81%A6%E6%8C%87%E5%AE%9A%E3%81%99%E3%82%8B%E5%BF%85%E8%A6%81%E3%81%8C%E3%81%82%E3%82%8A%E3%81%BE%E3%81%99%E3%80%82%20%E3%82%82%E3%81%A1%E3%82%8D%E3%82%93%E4%BA%8B%E5%89%8D%E3%81%AB%E3%83%8E%E3%83%BC%E3%83%89%E3%81%B8%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%82%92%E3%82%A4%E3%83%B3%E3%82%B9%E3%83%88%E3%83%BC%E3%83%AB%E3%81%99%E3%82%8B%E5%BF%85%E8%A6%81%E3%82%82%E3%81%82%E3%82%8A%E3%81%BE%E3%81%99%E3%81%8C%E3%80%81%E8%A9%A6%E9%A8%93%E3%81%A7%E3%81%AF%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E8%87%AA%E4%BD%93%E3%81%AE%E3%82%A4%E3%83%B3%E3%82%B9%E3%83%88%E3%83%BC%E3%83%AB%E3%81%BE%E3%81%A7%E3%81%A7%E3%81%8D%E3%82%8B%E5%BF%85%E8%A6%81%E3%81%AF%E3%81%AA%E3%81%8F%E3%80%81runtimeClass%20%E3%82%92%E4%BD%9C%E6%88%90%E3%81%97%E3%81%A6%20Pod%20%E3%81%A7%E6%8C%87%E5%AE%9A%E3%81%A7%E3%81%8D%E3%82%8B%E3%82%88%E3%81%86%E3%81%AB%E3%81%97%E3%81%A6%E3%81%8A%E3%81%8D%E3%81%BE%E3%81%97%E3%82%87%E3%81%86%E3%80%82))。）*

2. **RuntimeClassリソースを作成する** – 次に、Kubernetes上にRuntimeClassオブジェクトを作成します。RuntimeClassはクラスター全体（非ネームスペース）で有効なリソースで、`apiVersion: node.k8s.io/v1`で定義されます ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=2))。ここで**各RuntimeClassには一意の名前と、対応するランタイムハンドラー名**を設定します。以下は例として、サンドボックス型ランタイム「gVisor」を利用するためのRuntimeClassリソースを定義するYAMLです ([gVisorって何？システムを守る「軽量セキュリティガード」｜toshi](https://note.com/minato_kame/n/nf9ae7115a210#:~:text=apiVersion%3A%20node,name%3A%20gvisor%20handler%3A%20runsc)):

   ```yaml
   apiVersion: node.k8s.io/v1
   kind: RuntimeClass
   metadata:
     name: gvisor            # RuntimeClassの名前
   handler: runsc            # 対応するCRIランタイムのハンドラー名（gVisorの場合はrunsc）
   ```
   *上記では、RuntimeClass名を`gvisor`、handlerを`runsc`としています。`runsc`はgVisorのOCIランタイム名であり、これを指定することでPod実行時にgVisorが利用されます ([gVisorって何？システムを守る「軽量セキュリティガード」｜toshi](https://note.com/minato_kame/n/nf9ae7115a210#:~:text=handler%3A%20runsc))。*

   作成したYAMLファイル（例: `runtimeclass-gvisor.yaml`）をクラスタに適用するには、通常のリソースと同様に以下のコマンドを使用します。

   ```bash
   kubectl apply -f runtimeclass-gvisor.yaml
   ```

3. **PodでRuntimeClassを指定する** – RuntimeClassリソースを作成しただけではPodには反映されません。実際にPodを起動する際には、そのPodのマニフェストでRuntimeClass名を指定する必要があります。Podの定義 (`spec` 部分) に **`runtimeClassName`** フィールドを追加し、利用したいRuntimeClassの名前を値に設定します ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=RuntimeClass%E3%81%8C%E3%82%AF%E3%83%A9%E3%82%B9%E3%82%BF%E3%83%BC%E3%81%AB%E5%AF%BE%E3%81%97%E3%81%A6%E8%A8%AD%E5%AE%9A%E3%81%95%E3%82%8C%E3%82%8B%E3%81%A8%E3%80%81PodSpec%E3%81%A7%20))。例えば、先ほど作成した`gvisor`というRuntimeClassを使ってNginxコンテナを起動するPodのYAMLは次のようになります ([gVisorって何？システムを守る「軽量セキュリティガード」｜toshi](https://note.com/minato_kame/n/nf9ae7115a210#:~:text=%E4%BD%9C%E6%88%90%E3%81%97%E3%81%9FRuntimeClass%E3%82%92Pod%E3%81%AB%E6%8C%87%E5%AE%9A%E3%81%97%E3%81%BE%E3%81%99%E3%80%82%E4%BB%A5%E4%B8%8B%E3%81%AFgVisor%E3%81%A7%E5%8B%95%E3%81%8B%E3%81%99Pod%E3%81%AE%E3%82%B5%E3%83%B3%E3%83%97%E3%83%ABYAML%E3%81%A7%E3%81%99%E3%80%82)):

   ```yaml
   apiVersion: v1
   kind: Pod
   metadata:
     name: nginx-gvisor
   spec:
     runtimeClassName: gvisor   # 利用するRuntimeClassの名前を指定
     containers:
     - name: nginx
       image: nginx
       ports:
       - containerPort: 80
   ```
   上記の`runtimeClassName: gvisor`という指定により、このPodは`gvisor` RuntimeClass（handlerが`runsc`）で動作するコンテナランタイム上にデプロイされます。YAMLファイル（例: `nginx-gvisor.yaml`）を準備して `kubectl apply -f nginx-gvisor.yaml` を実行すれば、Podが作成されます ([gVisorって何？システムを守る「軽量セキュリティガード」｜toshi](https://note.com/minato_kame/n/nf9ae7115a210#:~:text=%E3%81%93%E3%81%AEYAML%E3%82%92%20gvisor))。

以上が基本的な設定手順です。ここまでで、特定のRuntimeClassを持つPodを起動するところまでの流れができました。

## RuntimeClass適用のポイントとデバッグ方法

RuntimeClassを指定したPodをデプロイした後、**正しく適用されているかの確認**や、**問題発生時のデバッグ**を行う際には以下のポイントに注意してください。

- **適用の確認**: Podが正常にスケジューリングされRunning状態になったら、`kubectl describe pod <Pod名>`コマンドでPodの詳細を確認しましょう。出力の中の`RuntimeClass`の項目に、指定したRuntimeClass名が表示されていれば、RuntimeClassが適用されていることが確認できます ([gVisorって何？システムを守る「軽量セキュリティガード」｜toshi](https://note.com/minato_kame/n/nf9ae7115a210#:~:text=Pod%E3%81%8CgVisor%E3%81%AE%E3%82%B5%E3%83%B3%E3%83%89%E3%83%9C%E3%83%83%E3%82%AF%E3%82%B9%E3%81%A7%E5%AE%89%E5%85%A8%E3%81%AB%E5%8B%95%E3%81%84%E3%81%A6%E3%81%84%E3%82%8B%E3%81%93%E3%81%A8%E3%82%92%E7%A2%BA%E8%AA%8D%E3%81%99%E3%82%8B%E3%81%AB%E3%81%AF%E3%80%81kubectl%20describe%20pod%20%E3%82%B3%E3%83%9E%E3%83%B3%E3%83%89%E3%82%92%E4%BD%BF%E3%81%84%E3%80%81RuntimeClass%E3%81%8C%E6%AD%A3%E3%81%97%E3%81%8F%E8%A8%AD%E5%AE%9A%E3%81%95%E3%82%8C%E3%81%A6%E3%81%84%E3%82%8B%E3%81%8B%E3%82%92%E3%83%81%E3%82%A7%E3%83%83%E3%82%AF%E3%81%97%E3%81%BE%E3%81%99%E3%80%82))。例えば上記の例では、`RuntimeClass: gvisor` と表示されます。

- **Podが起動しない場合**: Podが`Pending`のまま進まなかったり、`ContainerCreating`から先に進まず**`Failed`フェーズ**になってしまう場合、RuntimeClassの適用に問題が起きている可能性があります。代表的な原因と対処法は以下のとおりです。

  1. **RuntimeClassリソースが存在しない** – Podで指定した`runtimeClassName`に対応するRuntimeClassオブジェクトが存在しない場合、kubeletはそのPodを起動できず、Podは`Failed`状態になります ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=%E3%81%93%E3%82%8C%E3%81%AF%E3%80%81kubelet%E3%81%AB%E5%AF%BE%E3%81%97%E3%81%A6Pod%E3%82%92%E7%A8%BC%E5%83%8D%E3%81%95%E3%81%9B%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AERuntimeClass%E3%82%92%E4%BD%BF%E3%81%86%E3%82%88%E3%81%86%E3%81%AB%E6%8C%87%E7%A4%BA%E3%81%97%E3%81%BE%E3%81%99%E3%80%82%E3%82%82%E3%81%97%E8%A8%AD%E5%AE%9A%E3%81%95%E3%82%8C%E3%81%9FRuntimeClass%E3%81%8C%E5%AD%98%E5%9C%A8%E3%81%97%E3%81%AA%E3%81%84%E5%A0%B4%E5%90%88%E3%82%84%E3%80%81%20CRI%E3%81%8C%E5%AF%BE%E5%BF%9C%E3%81%99%E3%82%8B%E3%83%8F%E3%83%B3%E3%83%89%E3%83%A9%E3%83%BC%E3%82%92%E5%AE%9F%E8%A1%8C%E3%81%A7%E3%81%8D%E3%81%AA%E3%81%84%E5%A0%B4%E5%90%88%E3%80%81%E3%81%9D%E3%81%AEPod%E3%81%AF%20,%E3%82%A8%E3%83%A9%E3%83%BC%E3%83%A1%E3%83%83%E3%82%BB%E3%83%BC%E3%82%B8%E3%81%AB%E9%96%A2%E3%81%97%E3%81%A6%E3%81%AF%E5%AF%BE%E5%BF%9C%E3%81%99%E3%82%8B%20320%E3%82%92%E5%8F%82%E7%85%A7%E3%81%97%E3%81%A6%E4%B8%8B%E3%81%95%E3%81%84%E3%80%82))。この場合、`kubectl get runtimeclass`でRuntimeClass一覧を確認し、名前の誤りがないかチェックしてください。必要であれば正しい名前でRuntimeClassを再作成するか、Pod定義の`runtimeClassName`を修正します。

  2. **ノード側でランタイムが未設定** – 指定したRuntimeClassの`handler`に対応するランタイムがノードで正しく設定・インストールされていない場合も、PodはSandboxの作成に失敗します。その際、`kubectl describe pod <Pod名>`の**Events（イベント）**欄にエラー内容が記録されます。例えば、gVisor (`runsc`ハンドラー) がノードに設定されていないのにPodで`runtimeClassName: gvisor`を指定した場合、イベントには「`Failed to create pod sandbox: ... no runtime for "runsc" is configured`」といったエラーが表示されます ([gVisor pod fail to create pod sandbox — Linux Foundation Forums](https://forum.linuxfoundation.org/discussion/864482/gvisor-pod-fail-to-create-pod-sandbox#:~:text=And%20I%20use%20the%20yaml,is%20configured))。この場合はノードに対応するランタイムをインストール・設定し、必要ならkubeletやコンテナランタイム（containerd/CRI-O）を再起動して設定を反映させる必要があります。  

  3. **対応するノードが存在しない/スケジューリングされない** – クラスター内の全ノードが指定のRuntimeClassをサポートしていない場合、Podはどのノードにもスケジュールできず`Pending`状態になります。前述の通りRuntimeClassは**クラスターが単一のノード設定であることを仮定**しています ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=RuntimeClass%E3%81%AF%E3%80%81%E3%82%AF%E3%83%A9%E3%82%B9%E3%82%BF%E3%83%BC%E5%85%A8%E4%BD%93%E3%81%A7%E5%90%8C%E3%81%98%E7%A8%AE%E9%A1%9E%E3%81%AE%E3%83%8E%E3%83%BC%E3%83%89%E8%A8%AD%E5%AE%9A%E3%81%A7%E3%81%82%E3%82%8B%E3%81%93%E3%81%A8%E3%82%92%E4%BB%AE%E5%AE%9A%E3%81%97%E3%81%A6%E3%81%84%E3%81%BE%E3%81%99%E3%80%82))。もし一部のノードでしか特定のランタイムを使用できない場合は、**ノードにラベルを付けてスケジューリングを制御**する必要があります ([Secure Compute Part 2: gVisor Runtime on EKS | Very Good Security](https://www.verygoodsecurity.com/blog/posts/secure-compute-part-2#:~:text=scheduling%3A%20nodeSelector%3A%20runtime%3A%20gvisor%20EOF))。例えば、gVisorをインストールしたノードに`runtime=gvisor`とラベル付けし、RuntimeClassリソースに以下のような`spec.scheduling`を設定できます ([Secure Compute Part 2: gVisor Runtime on EKS | Very Good Security](https://www.verygoodsecurity.com/blog/posts/secure-compute-part-2#:~:text=scheduling%3A%20nodeSelector%3A%20runtime%3A%20gvisor%20EOF)):

     ```yaml
     spec:
       scheduling:
         nodeSelector:
           runtime: gvisor
     ```
     この設定により、`gvisor` RuntimeClassを指定したPodは`runtime=gvisor`というラベルを持つノードにのみスケジューリングされます（指定したラベルを持つノードが存在しない場合、PodはPendingのままになります） ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=RuntimeClass%E3%81%AE%20))。必要に応じて`tolerations`もRuntimeClass側で設定し、特定ノードへの割り当てを調整できます ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=%E7%89%B9%E5%AE%9A%E3%81%AERuntimeClass%E3%82%92%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E3%81%97%E3%81%A6%E3%81%84%E3%82%8B%E3%83%8E%E3%83%BC%E3%83%89%E3%81%B8Pod%E3%81%8C%E9%85%8D%E7%BD%AE%E3%81%95%E3%82%8C%E3%82%8B%E3%81%93%E3%81%A8%E3%82%92%E4%BF%9D%E8%A8%BC%E3%81%99%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AB%E3%80%81%E5%90%84%E3%83%8E%E3%83%BC%E3%83%89%E3%81%AF%20))。

上記のように、RuntimeClass利用時には**「クラスタ内のどのノードでそのRuntimeClassが使えるか」** を考慮することが重要です。全ノードが対応しているのであれば特別な設定は不要ですが、一部のノードのみで使う場合はラベル付けとスケジューリング制御を組み合わせて運用しましょう。

最後に、PodのRuntimeClass適用に関連して**リソースのオーバーヘッド**にも触れておきます。たとえば軽量VM型のランタイムを使うと、通常のコンテナ実行よりも追加のCPUやメモリを消費する場合があります。KubernetesではRuntimeClassリソースに`overhead`フィールドを設定することで、そのRuntimeClassで動作するPodにあらかじめ割り増しリソース枠を見積もってスケジューリングすることも可能です ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=Pod%E3%81%AE%E3%82%AA%E3%83%BC%E3%83%90%E3%83%BC%E3%83%98%E3%83%83%E3%83%89%E3%81%AFRuntimeClass%E5%86%85%E3%81%AE%20))。これは上級者向けのチューニングとなりますが、必要に応じて公式ドキュメントを参照してください。

## 上級者向けコラム: gVisorやKata Containersの活用によるセキュリティ強化

**RuntimeClassは、コンテナのセキュリティを強化するサンドボックス型ランタイムを活用するための重要な機能**です。ここでは代表的な2つのランタイムである「gVisor」と「Kata Containers」を例に、RuntimeClassを使った応用シナリオを簡単に紹介します。

- **gVisor**: gVisorはGoogleが開発した軽量サンドボックス型のコンテナランタイムで、Linuxカーネルと同等のインターフェースをユーザー空間で実装した「仮想カーネル（ユーザー空間カーネル）」を提供します ([ What is gVisor? - gVisor](https://gvisor.dev/docs/#:~:text=gVisor%20provides%20a%20strong%20layer,and%20runs%20in%20userspace))。コンテナからのシステムコールをホストカーネルに直接届けず、この仮想カーネル（gVisor内の*「Sentry」*というコンポーネント）が受け止めて処理することで、万が一コンテナ内で不正な動作が起きてもホストへの影響を抑えます ([gVisorって何？システムを守る「軽量セキュリティガード」｜toshi](https://note.com/minato_kame/n/nf9ae7115a210#:~:text=%E3%81%93%E3%81%93%E3%81%A7gVisor%E3%81%AE%E5%87%BA%E7%95%AA%EF%BC%81%20gVisor%E3%81%AF%E3%83%9B%E3%82%B9%E3%83%88OS%E3%81%AE%E3%82%AB%E3%83%BC%E3%83%8D%E3%83%AB%E3%81%AB%E7%9B%B4%E6%8E%A5%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9%E3%81%95%E3%81%9B%E3%81%9A%E3%80%81%E7%8B%AC%E8%87%AA%E3%81%AE%E4%BB%AE%E6%83%B3%E3%82%AB%E3%83%BC%E3%83%8D%E3%83%AB%20%E3%82%92%E4%BD%BF%E3%81%A3%E3%81%A6%E3%82%A2%E3%83%97%E3%83%AA%E3%82%B1%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3%E3%82%92%E5%8B%95%E3%81%8B%E3%81%97%E3%81%BE%E3%81%99%E3%80%82%E8%A8%80%E3%81%84%E6%8F%9B%E3%81%88%E3%82%8C%E3%81%B0%E3%80%81%E3%80%8C%E3%83%9B%E3%82%B9%E3%83%88OS%E3%81%AE%E4%BB%A3%E3%82%8F%E3%82%8A%E3%81%ABgVisor%E3%81%8C%E5%AE%89%E5%85%A8%E3%81%AB%E5%87%A6%E7%90%86%E3%82%92%E4%BB%A3%E8%A1%8C%E3%81%99%E3%82%8B%E3%80%8D%E3%82%A4%E3%83%A1%E3%83%BC%E3%82%B8%E3%81%A7%E3%81%99%E3%80%82))。gVisorをKubernetesで使う場合、各ノードにgVisor（`runsc`というOCIランタイム）をインストールしてcontainerdなどに統合し、RuntimeClassのhandlerに`runsc`を指定する形で設定します ([gVisorって何？システムを守る「軽量セキュリティガード」｜toshi](https://note.com/minato_kame/n/nf9ae7115a210#:~:text=handler%3A%20runsc))。例えば前述の例のように`name: gvisor, handler: runsc`のRuntimeClassを作成し、Podで`runtimeClassName: gvisor`を指定すれば、そのPodはgVisor上で動作します。gVisorを使うことで、コンテナの分離が強化され、**従来のネイティブコンテナに比べてホストOSへの攻撃リスクを低減**できます。一方で完全な仮想マシンではないため、起動の速さやリソース効率といったコンテナの利点もある程度保たれています。Google Kubernetes Engine（GKE）の「GKE Sandbox」は、このgVisorを利用してPodのサンドボックス実行を提供する機能であり、クラウド上でもRuntimeClassとして`gvisor`を指定するだけで容易に利用できます ([GKE Sandbox でワークロード分離を強化する - Google Cloud](https://cloud.google.com/kubernetes-engine/docs/how-to/sandbox-pods?hl=ja#:~:text=GKE%20Sandbox%20%E3%81%A7%E3%83%AF%E3%83%BC%E3%82%AF%E3%83%AD%E3%83%BC%E3%83%89%E5%88%86%E9%9B%A2%E3%82%92%E5%BC%B7%E5%8C%96%E3%81%99%E3%82%8B%20,runtimeClassName%20%E3%82%92%20gvisor%20%E3%81%AB%E8%A8%AD%E5%AE%9A%E3%81%97%E3%81%BE%E3%81%99%E3%80%82))。

- **Kata Containers**: Kata ContainersはOpenStack Foundation主導で公開されたオープンソースのコンテナランタイムで、**軽量の仮想マシン(VM)技術によってコンテナを隔離**します ([Kata Containerとは | OSSのデージーネット](https://www.designet.co.jp/faq/term/?id=S2F0YSBDb250YWluZXI#:~:text=Kata%20Container%E3%81%A8%E3%81%AF%E3%80%81%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E5%9E%8B%E4%BB%AE%E6%83%B3%E5%8C%96%E3%81%A7%E4%BD%BF%E3%82%8F%E3%82%8C%E3%82%8B%E6%8A%80%E8%A1%93%E3%81%AE1%E3%81%A4%E3%81%A7%E3%80%81OCI%20Runtime%20Specification%E3%81%AB%E5%9F%BA%E3%81%A5%E3%81%84%E3%81%A6%E4%BD%9C%E3%82%89%E3%82%8C%E3%81%9FKubernetes%E3%82%84Docker%E3%81%AE%E4%BD%8E%E3%83%AC%E3%83%99%E3%83%AB%E3%81%AA%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%81%A7%E3%81%99%E3%80%82Kata%20Container%E3%81%AF%E3%80%81%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E3%81%AE%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%82%92%E5%90%91%E4%B8%8A%E3%81%99%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AB%E9%96%8B%E7%99%BA%E3%81%95%E3%82%8C%E3%81%9F%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%81%A7%E3%81%99%E3%80%822017%E5%B9%B412%E6%9C%88%E3%81%AB%E3%80%81OpenStack,Foundation%E3%81%8B%E3%82%89%E5%85%AC%E9%96%8B%E3%81%95%E3%82%8C%E3%81%BE%E3%81%97%E3%81%9F%E3%80%82)) ([Kata Containerとは | OSSのデージーネット](https://www.designet.co.jp/faq/term/?id=S2F0YSBDb250YWluZXI#:~:text=Kata%20Container%E3%81%AF%E3%80%81%E3%81%93%E3%81%86%E3%81%97%E3%81%9Frunc%E3%81%AE%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%81%AE%E5%95%8F%E9%A1%8C%E3%82%92%E6%94%B9%E5%96%84%E3%81%99%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AB%E9%96%8B%E7%99%BA%E3%81%95%E3%82%8C%E3%81%9F%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%81%A7%E3%81%99%E3%80%82%E4%BB%AE%E6%83%B3%E5%8C%96%E3%81%AE%E6%8A%80%E8%A1%93%E3%82%92%E5%88%A9%E7%94%A8%E3%81%97%E3%81%A6%E4%BD%9C%E6%88%90%E3%81%97%E3%81%9F%E8%BB%BD%E9%87%8F%E3%81%AA%E3%83%8F%E3%82%A4%E3%83%91%E3%83%BC%E3%83%90%E3%82%A4%E3%82%B6%20%E3%83%BC%E3%81%AE%E4%B8%8A%E3%81%A7%E5%8B%95%E4%BD%9C%E3%81%97%E3%80%81%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E5%80%8B%E5%88%A5%E3%81%AB%E3%82%AB%E3%83%BC%E3%83%8D%E3%83%AB%E3%82%92%E5%8B%95%E4%BD%9C%E3%81%95%E3%81%9B%E3%82%8B%E3%81%93%E3%81%A8%E3%81%A7%E3%80%81%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E9%96%93%E3%81%AE%E5%88%86%E9%9B%A2%E3%82%92%E5%AE%9F%E7%8F%BE%E3%81%97%E3%81%A6%E3%81%84%E3%81%BE%E3%81%99%E3%80%82))。従来の標準的なコンテナランタイム（runcなど）では全てのコンテナがホストの単一カーネルを共有しますが、それに対しKata Containersでは**コンテナごとに専用の軽量ハイパーバイザー上で個別のカーネルを動作させる**ことで高い分離を実現しています ([Kata Containerとは | OSSのデージーネット](https://www.designet.co.jp/faq/term/?id=S2F0YSBDb250YWluZXI#:~:text=Kata%20Container%E3%81%AF%E3%80%81%E3%81%93%E3%81%86%E3%81%97%E3%81%9Frunc%E3%81%AE%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%81%AE%E5%95%8F%E9%A1%8C%E3%82%92%E6%94%B9%E5%96%84%E3%81%99%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AB%E9%96%8B%E7%99%BA%E3%81%95%E3%82%8C%E3%81%9F%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%81%A7%E3%81%99%E3%80%82%E4%BB%AE%E6%83%B3%E5%8C%96%E3%81%AE%E6%8A%80%E8%A1%93%E3%82%92%E5%88%A9%E7%94%A8%E3%81%97%E3%81%A6%E4%BD%9C%E6%88%90%E3%81%97%E3%81%9F%E8%BB%BD%E9%87%8F%E3%81%AA%E3%83%8F%E3%82%A4%E3%83%91%E3%83%BC%E3%83%90%E3%82%A4%E3%82%B6%20%E3%83%BC%E3%81%AE%E4%B8%8A%E3%81%A7%E5%8B%95%E4%BD%9C%E3%81%97%E3%80%81%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E5%80%8B%E5%88%A5%E3%81%AB%E3%82%AB%E3%83%BC%E3%83%8D%E3%83%AB%E3%82%92%E5%8B%95%E4%BD%9C%E3%81%95%E3%81%9B%E3%82%8B%E3%81%93%E3%81%A8%E3%81%A7%E3%80%81%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E9%96%93%E3%81%AE%E5%88%86%E9%9B%A2%E3%82%92%E5%AE%9F%E7%8F%BE%E3%81%97%E3%81%A6%E3%81%84%E3%81%BE%E3%81%99%E3%80%82))。要するに、「各コンテナを小さなVMの中で動かす」アプローチであり、VMによる強固な分離とコンテナの利便性を両立しようとするものです。Kata ContainersをKubernetesで使うには、やはりノードにkata-runtimeをインストールし（例えばQEMU等のVMMを利用）、RuntimeClassを作成します。たとえば`name: kata-containers, handler: kata`というRuntimeClassを作成し、Podで`runtimeClassName: kata-containers`を指定すれば、そのPodはKata Containers上で実行されます ([Specify Kata Container Runtime in Pod Spec — StarlingX  documentation](https://docs.starlingx.io/usertasks/kubernetes/specifying-kata-container-runtime-in-pod-spec.html#:~:text=kind%3A%20RuntimeClass%20apiVersion%3A%20node,runtime)) ([Specify Kata Container Runtime in Pod Spec — StarlingX  documentation](https://docs.starlingx.io/usertasks/kubernetes/specifying-kata-container-runtime-in-pod-spec.html#:~:text=runtimeClassName%3A%20kata,%223600%22%20image%3A%20busybox))。Kata Containersはセキュリティが特に重要なワークロード（マルチテナント環境の不審なコンテナなど）に向いており、コンテナの**「ほぼVMに近い隔離」**を提供します。ただし、軽量とはいえ内部的には仮想マシンを動かすため、起動時間やリソース消費にいくらかのオーバーヘッドが発生します。  

以上、gVisorとKata Containersという2つのランタイムを例に挙げましたが、**RuntimeClassによってKubernetesはこれら複数のコンテナランタイムを柔軟に扱うことができます**。Cluster Administratorは必要に応じてRuntimeClassを追加し、開発者やユーザはPodテンプレートで単にRuntimeClass名を指定するだけで希望の隔離レベルでコンテナを実行できるようになります ([enhancements/keps/sig-node/585-runtime-class/README.md at master · kubernetes/enhancements · GitHub](https://github.com/kubernetes/enhancements/blob/master/keps/sig-node/585-runtime-class/README.md#:~:text=Then%20when%20a%20user%20creates,if%20they%20want%20the%20default)) ([enhancements/keps/sig-node/585-runtime-class/README.md at master · kubernetes/enhancements · GitHub](https://github.com/kubernetes/enhancements/blob/master/keps/sig-node/585-runtime-class/README.md#:~:text=spec%3A%20runtimeClassName%3A%20sandboxed%20%20,containerPort%3A%2080%20protocol%3A%20TCP))。コンテナのセキュリティを強化したい場合、まずはRuntimeClassとしてgVisorやKataを試し、ワークロードに適したバランスを見つけてみるとよいでしょう。

---

**参考資料:** RuntimeClassの公式ドキュメント ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=RuntimeClass%E3%81%AF%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%81%AE%E8%A8%AD%E5%AE%9A%E3%82%92%E9%81%B8%E6%8A%9E%E3%81%99%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AE%E6%A9%9F%E8%83%BD%E3%81%A7%E3%81%99%E3%80%82%E3%81%9D%E3%81%AE%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E8%A8%AD%E5%AE%9A%E3%81%AFPod%E3%81%AE%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E3%82%92%E7%A8%BC%E5%83%8D%E3%81%95%E3%81%9B%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AB%E4%BD%BF%E3%82%8F%E3%82%8C%E3%81%BE%E3%81%99%E3%80%82)) ([ランタイムクラス(Runtime Class) | Kubernetes](https://kubernetes.io/ja/docs/concepts/containers/runtime-class/#:~:text=2))や、各種ブログ記事（例: gVisor解説記事 ([gVisorって何？システムを守る「軽量セキュリティガード」｜toshi](https://note.com/minato_kame/n/nf9ae7115a210#:~:text=%E3%81%BE%E3%81%9A%E3%80%81gVisor%E7%94%A8%E3%81%AERuntimeClass%E3%82%92%E4%BD%9C%E6%88%90%E3%81%97%E3%81%BE%E3%81%99%E3%80%82%E4%BB%A5%E4%B8%8B%E3%81%AF%20gvisor%20%E3%81%A8%E3%81%84%E3%81%86%E5%90%8D%E5%89%8D%E3%81%AERuntimeClass%E3%82%92%E4%BD%9C%E6%88%90%E3%81%99%E3%82%8B%E3%82%B5%E3%83%B3%E3%83%97%E3%83%AB%E3%81%A7%E3%81%99%E3%80%82))、Kata Containers解説記事 ([Kata Containerとは | OSSのデージーネット](https://www.designet.co.jp/faq/term/?id=S2F0YSBDb250YWluZXI#:~:text=Kata%20Container%E3%81%AF%E3%80%81%E3%81%93%E3%81%86%E3%81%97%E3%81%9Frunc%E3%81%AE%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%81%AE%E5%95%8F%E9%A1%8C%E3%82%92%E6%94%B9%E5%96%84%E3%81%99%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AB%E9%96%8B%E7%99%BA%E3%81%95%E3%82%8C%E3%81%9F%E3%83%A9%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%81%A7%E3%81%99%E3%80%82%E4%BB%AE%E6%83%B3%E5%8C%96%E3%81%AE%E6%8A%80%E8%A1%93%E3%82%92%E5%88%A9%E7%94%A8%E3%81%97%E3%81%A6%E4%BD%9C%E6%88%90%E3%81%97%E3%81%9F%E8%BB%BD%E9%87%8F%E3%81%AA%E3%83%8F%E3%82%A4%E3%83%91%E3%83%BC%E3%83%90%E3%82%A4%E3%82%B6%20%E3%83%BC%E3%81%AE%E4%B8%8A%E3%81%A7%E5%8B%95%E4%BD%9C%E3%81%97%E3%80%81%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E5%80%8B%E5%88%A5%E3%81%AB%E3%82%AB%E3%83%BC%E3%83%8D%E3%83%AB%E3%82%92%E5%8B%95%E4%BD%9C%E3%81%95%E3%81%9B%E3%82%8B%E3%81%93%E3%81%A8%E3%81%A7%E3%80%81%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A%E9%96%93%E3%81%AE%E5%88%86%E9%9B%A2%E3%82%92%E5%AE%9F%E7%8F%BE%E3%81%97%E3%81%A6%E3%81%84%E3%81%BE%E3%81%99%E3%80%82))）も併せて参照してください。RuntimeClassの活用により、Kubernetes上でのコンテナ実行環境をより柔軟かつ安全に制御できます。ぜひ自身のクラスタでも適用を試してみてください。