Mount Docker socket vào build pod trên Kubernetes là rủi ro bảo mật phổ biến nhưng nghiêm trọng — nó trao cho build container quyền kiểm soát root-level trên node host. Kaniko giải quyết vấn đề này bằng cách build container image hoàn toàn trong userspace mà không cần daemon, không yêu cầu privileged mode. Hướng dẫn này phân tích nguyên nhân gốc rễ, so sánh các giải pháp hiện có, và trình bày cách thiết lập Kaniko hoàn chỉnh cho GitLab CI và GitHub Actions.