Kaniko
Инструмент Google (2018) для сборки Docker-образов внутри Kubernetes без демона Docker.
Нужен для CI/CD, работающего в контейнерах (GitLab CI, Tekton, Argo Workflows), где запуск демона Docker внутри контейнера создаёт проблемы с безопасностью и сложностью, — Docker-in-Docker не нужен. Понимает весь синтаксис Dockerfile, работает без root (через пользовательские пространства имён) и отправляет образ прямо в реестр. Кэш между сборками хранится в облаке (GCS, S3). Альтернативы: BuildKit в rootless-режиме (современный вариант), Buildah (Red Hat), img (заброшен). Классическая связка для Kubernetes CI — Tekton и Kaniko; в новых установках чаще BuildKit с rootless podman. По скорости Kaniko чуть уступает BuildKit, зато демон не требуется.