# 安全运行时与普通运行时
相比于普通运行时，安全运行时可以让您的每个容器（准确地说是Pod）都运行在一个单独的微型虚拟机中，拥有独立的操作系统内核，以及虚拟化层的安全隔离。通过使用安全运行时，不同容器之间的内核、计算资源、网络都是隔离开的，保护了Pod的资源和数据不被其他Pod抢占和窃取。
CCE Turbo集群和VPC网络CCE Standard集群支持使用普通运行时和安全运行时创建工作负载，您可以根据业务需求选择使用，两者的区别如下：
| **分类**                                                                                | **安全运行时**                                                                                                                                                                                        | **普通运行时**                                                                                                                                                                                                  |
|:---|:---|:---|
| 容器所在节点类型                                                                              | 弹性云服务器-物理机                                                                                                                                                                                       | 弹性云服务器-虚拟机 弹性云服务器-物理机                                                                                                                                                           |
| 容器运行时                                                                                 | Containerd                                                                                                                                                                                       | Docker、Containerd                                                                                                                                                                                          |
| 容器运行时                                                                                 | Kata                                                                                                                                                                                             | runC                                                                                                                                                                                                       |
| 容器内核                                                                                  | 独占内核                                                                                                                                                                                             | 与宿主机共享内核                                                                                                                                                                                                   |
| 容器隔离方式                                                                                | 轻量虚拟机                                                                                                                                                                                            | Cgroups和Namespace                                                                                                                                                                                          |
| 容器运行时存储驱动                                                                             | Device Mapper                                                                                                                                                                                    | - Docker容器：OverlayFS2  - Containerd容器：OverlayFS   |
| [Pod Overhead](https://kubernetes.io/docs/concepts/scheduling-eviction/pod-overhead/) | 内存：100MiB CPU：0.1Core Pod Overhead为安全容器本身资源占用。比如Pod申请的limits.cpu = 0.5Core和limits.memory = 256MiB，那么该Pod最终会申请0.6Core的CPU和356MiB的内存。 | 无                                                                                                                                                                                                          |
| 最小规格                                                                                  | 内存：256MiB CPU：0.25Core 安全容器的CPU核数（单位为Core）与内存（单位为GiB）配比建议在1:1至1:8之间。例如CPU为0.5Core，则内存范围建议在512MiB-4GiB间。                                | 无                                                                                                                                                                                                          |
| 容器运行时命令行                                                                              | crictl                                                                                                                                                                                           | - Docker容器：docker  - Containerd容器：crictl            |
| Pod的计算资源                                                                              | CPU和内存的request和limit必须一致                                                                                                                                                                         | CPU和内存的request和limit可以不一致                                                                                                                                                                                  |
| [主机网络（hostNetwork）](https://support.huaweicloud.com/usermanual-cce/cce_10_0402.html)  | 不支持                                                                                                                                                                                              | 支持                                                                                                                                                                                                         |
   
Containerd和Docker命令行的使用方式对比，请参见[容器运行时说明](https://support.huaweicloud.com/usermanual-cce/cce_10_0462.html)。
#### 相关文档
- [创建工作负载](https://support.huaweicloud.com/usermanual-cce/cce_10_0673.html)：了解工作负载的更多参数。
- [管理工作负载](https://support.huaweicloud.com/usermanual-cce/cce_10_0007.html)：工作负载创建后，您可以对其执行升级、编辑YAML、查看日志等操作。
- 如果工作负载创建失败，请参考[工作负载异常问题排查](https://support.huaweicloud.com/cce_faq/cce_faq_00029.html)进行处理。