Talos Linux
Linux zbudowany wyłącznie do uruchamiania Kubernetesa: bez powłoki, bez SSH i bez menedżera pakietów. Wszystko robi się przez API.
Założenie jest takie, że najczęstszą przyczyną rozjeżdżania się węzłów jest ktoś, kto zalogował się i coś poprawił ręcznie. Talos odbiera tę możliwość: nie ma dokąd się logować. System plików root jest tylko do odczytu, cała konfiguracja to jeden plik YAML podawany przy starcie, a administrowanie odbywa się przez talosctl i gRPC API chronione mTLS. Aktualizacje są atomowe — podmieniany jest cały obraz systemu, a węzeł się restartuje — więc albo się udają, albo czysto się cofają. Powierzchnia ataku jest minimalna z tego samego powodu, dla którego debugowanie wydaje się nietypowe: na maszynie nie ma żadnych narzędzi, tylko to, co działa w klastrze. Projekt rozwija Sidero Labs.