containerd 1.5开始引入config_path方式，也就是子配置文件的方式
对比项
老方式（config.toml 内联）
新方式（config_path + certs.d）
配置组织
所有仓库堆在一个 config.toml
每仓库一个目录，拆成独立 hosts.toml
生效方式
改完必须重启 containerd
读取时生效，不需重启
故障半径
改坏一个字节 → 整个 containerd 起不来
改坏只影响对应仓库，其余照常
配置粒度
tls/证书按仓库全局配
每个 host 块独立配证书、skip_verify
capabil...
