CRI-O
Container runtime construído especificamente para o Kubernetes — minimalista, compatível com OCI.
Alternativa ao containerd e ao Docker. Padrão no OpenShift e nas distros Red Hat. Diferença em relação ao Docker: sem build, sem CLI para o usuário final — só executa containers a serviço do k8s. Superfície de ataque menor = bom para segurança.