RuntimeClass 运行时选择机制
Pod 选择运行时，节点 CRI 决定隔离环境
Pod spec
runtimeClassName
RuntimeClass
handler: runsc / kata
可绑定调度约束
节点 CRI
匹配 handler
默认运行时
可信工作负载
gVisor
用户态内核边界
Kata
轻量虚拟机边界