CRI-O
Runtime de contenedor construido específicamente para Kubernetes — minimalista, compatible con OCI.
Alternativa a containerd y Docker. Predeterminado en OpenShift y distros Red Hat. Diferencia de Docker: sin build, sin CLI para usuario final — solo ejecutar contenedores para k8s. Superficie de ataque más pequeña = bueno para seguridad.