Cilium（シリウム） とは？

そうだよ。Kubernetesなどのコンテナ環境で、ネットワーク・セキュリティ・通信の見える化をまとめて担うソフトウェアなんだ。一番の特徴は、Linuxカーネルの中で小さなプログラムを動かせるeBPFという技術を使っていることだよ。

Kubernetesの標準的な仕組み（kube-proxyのiptablesモード）は、Serviceや通信先ごとにiptablesのルールを作るんだ。Kubernetesの公式ドキュメントでも、数万規模のPodやServiceがある環境ではルールの更新に時間がかかることがあると説明されている。Ciliumは設定すればkube-proxyを置き換えて、この振り分けをeBPFで処理できるよ。既定では併用だから、置き換えるには明示的な設定が必要なんだ。

そこがCiliumの見どころだね。一般的なネットワークポリシーはIPアドレスやポート番号で制御するけど、CiliumはPodのラベルなどから決まる「アイデンティティ」で通信を許可できる。さらにHTTPのメソッドやパス、gRPCの呼び出しまで見て「このPodからはGETだけ許可」のような制御もできるんだ。こうしたL7の中身の解析には、eBPFに加えてEnvoyというプロキシが使われるよ。

Hubbleという可視化の仕組みがあって、どのPodがどのPodと通信しているか、どの通信がポリシーで止められたかを確認できるよ。マイクロサービスの通信の流れが追いやすくなるから、障害調査にも役立つんだ。

CNCFの記録では、2021年10月にIncubatingとして受け入れられて、2023年10月にGraduated（卒業）になったよ。GraduatedはCNCFのプロジェクトの成熟度で最上位の段階なんだ。ただ、どのCNIが合うかはクラスターの規模や運用しだいだから、要件に合わせて選ぼう。