K8s运维效率翻倍：掌握Containerd核心命令（ctr/crictl）与Docker命令对照表

K8s运维效率翻倍：掌握Containerd核心命令（ctr/crictl）与Docker命令对照表

在Kubernetes生态中，容器运行时的选择直接影响着集群的稳定性和运维效率。随着Containerd逐渐成为Kubernetes默认的容器运行时，熟悉其命令行工具 ctr 和 crictl 已成为运维人员的必备技能。本文将提供一份详尽的命令对照手册，帮助从Docker迁移到Containerd的用户快速适应新工具链。

1. 镜像管理操作对比

镜像管理是容器运维中最基础也最频繁的操作之一。Containerd通过 ctr 命令提供了与Docker类似的镜像管理功能，但存在一些关键差异需要注意。

1.1 基础镜像操作

镜像拉取与推送 ：

# Docker方式
docker pull nginx:latest
docker push my-registry/nginx:latest

# Containerd方式
ctr -n k8s.io images pull docker.io/library/nginx:latest
ctr -n k8s.io images push my-registry/nginx:latest

注意：Containerd操作镜像时必须指定 -n k8s.io 命名空间，否则Kubernetes将无法识别这些镜像。

镜像列表查看 ：

# Docker
docker images

# Containerd
ctr -n k8s.io images ls
crictl images

镜像删除 ：

# Docker
docker rmi nginx:latest

# Containerd
ctr -n k8s.io images rm docker.io/library/nginx:latest
crictl rmi docker.io/library/nginx:latest

1.2 镜像导入导出

离线环境下的镜像迁移是生产环境中的常见需求，Containerd的处理方式与Docker有所不同：

# Docker导出导入
docker save nginx > nginx.tar
docker load -i nginx.tar

# Containerd导出导入
ctr -n k8s.io images export nginx.tar docker.io/library/nginx:latest
ctr -n k8s.io images import nginx.tar

性能对比 ：

实际测试表明，Containerd在镜像导入导出操作上通常比Docker快15-30%，特别是在处理大量小文件时优势更明显。

2. 容器生命周期管理

容器管理是日常运维的核心工作，Containerd通过 crictl 提供了与Kubernetes CRI兼容的容器管理接口。

2.1 容器基础操作

容器创建与启动 ：

# Docker方式
docker run -d --name nginx nginx:latest

# Containerd方式
CONTAINER_ID=$(crictl run container-config.json pod-config.json)
crictl start $CONTAINER_ID

容器状态查看 ：

# Docker
docker ps -a
docker inspect <container_id>

# Containerd
crictl ps -a
crictl inspect <container_id>

容器日志查看 ：

# Docker
docker logs -f <container_id>

# Containerd
crictl logs -f <container_id>

2.2 容器调试技巧

进入运行中的容器进行调试是排查问题的常用手段：

# Docker
docker exec -it <container_id> /bin/sh

# Containerd
crictl exec -it <container_id> /bin/sh

性能指标查看 ：

# Docker
docker stats

# Containerd
crictl stats

提示： crictl 的输出格式更贴近Kubernetes的监控需求，便于与集群监控系统集成。

3. Pod操作与管理

与Docker不同，Containerd原生支持Pod概念，这使其与Kubernetes的集成更加紧密。

3.1 Pod基础操作

Pod创建与删除 ：

# Docker无直接对应概念

# Containerd方式
POD_ID=$(crictl runp pod-config.json)
crictl stopp $POD_ID
crictl rmp $POD_ID

Pod列表查看 ：

crictl pods

Pod详情查看 ：

crictl inspectp $POD_ID

3.2 Pod与容器关系管理

在Containerd中，Pod是一组容器的逻辑单元，这种设计更符合Kubernetes的原生理念：

# 查看Pod内容器
crictl ps --pod $POD_ID

# 在特定Pod中创建容器
crictl run --pod $POD_ID container-config.json pod-config.json

Pod状态转换 ：

1. 创建Pod： runp
2. 启动Pod内所有容器：自动完成
3. 停止Pod： stopp
4. 删除Pod： rmp

4. 高级运维场景与技巧

4.1 命名空间管理

Containerd的命名空间特性为多租户环境提供了更好的隔离：

# 列出所有命名空间
ctr namespace ls

# 在不同命名空间操作
ctr -n namespace1 images ls
ctr -n namespace2 images ls

重要：Kubernetes专用命名空间是 k8s.io ，所有K8s相关操作都应指定此命名空间。

4.2 与Docker混合使用

虽然生产环境推荐完全迁移到Containerd，但在过渡期可以混合使用：

# 从Containerd导出镜像供Docker使用
ctr -n k8s.io images export nginx.tar docker.io/library/nginx:latest
docker load -i nginx.tar

# 从Docker导入镜像到Containerd
docker save nginx > nginx.tar
ctr -n k8s.io images import nginx.tar

混合使用场景 ：

• CI/CD流水线中仍依赖Docker构建镜像
• 开发测试环境需要快速验证镜像
• 某些工具链尚未完全适配Containerd

4.3 性能调优建议

1. 镜像层缓存优化 ：

   # 查看镜像层信息
   ctr -n k8s.io content ls
   

2. IO性能优化 ：

   # 使用overlayfs作为存储驱动
   containerd config default | grep -A5 "storage"
   

3. 并发拉取设置 ：

   # 在containerd配置中调整
   [plugins."io.containerd.grpc.v1.cri".registry]
     max_concurrent_downloads = 5
   

5. 常见问题排查指南

5.1 镜像拉取失败

错误现象 ：

ctr: failed to resolve reference "docker.io/library/nginx:latest": failed to do request...

解决方案 ：

1. 检查网络连接
2. 验证镜像地址是否正确
3. 尝试使用完整镜像路径：

   ctr -n k8s.io images pull docker.io/library/nginx:latest
   

5.2 容器无法启动

错误现象 ：

crictl: Failed to create container: context deadline exceeded

排查步骤 ：

1. 检查容器配置是否正确
2. 查看containerd日志：

   journalctl -u containerd -n 100
   

3. 验证镜像是否存在：

   crictl images | grep nginx
   

5.3 Pod状态异常

错误现象 ：

crictl pods显示Pod状态为NotReady

诊断方法 ：

1. 查看Pod详情：

   crictl inspectp <pod_id>
   

2. 检查Pod内容器状态：

   crictl ps -a --pod <pod_id>
   

3. 查看kubelet日志：

   journalctl -u kubelet -n 100
   

6. 生产环境最佳实践

在实际生产环境中使用Containerd时，以下几个经验值得注意：

1. 批量操作优化 ：

   # 批量删除所有停止的容器
   crictl rm $(crictl ps -aq)
   
   # 批量清理无用镜像
   crictl rmi $(crictl images -q)
   

2. 日志管理 ：

   # 配置containerd日志轮转
   [plugins."io.containerd.grpc.v1.cri".containerd]
     disable_cgroup = false
     disable_apparmor = false
     restrict_oom_score_adj = true
     [plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc]
       runtime_type = "io.containerd.runc.v2"
       [plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc.options]
         SystemdCgroup = true
   

3. 资源监控集成 ：

   # 使用crictl stats输出JSON格式便于处理
   crictl stats -o json
   

4. 安全加固建议 ：

   • 定期更新containerd版本
   • 限制容器运行时权限
   • 启用seccomp和AppArmor
   • 监控containerd系统资源使用情况

在迁移到Containerd的过程中，建议先在测试环境充分验证所有工作负载，特别是那些依赖特定Docker特性的应用。对于仍需要Docker构建镜像的场景，可以考虑在CI/CD流水线中单独配置Docker环境，而不必在集群节点上保留Docker。