Cilium & Hubble ネットワークオブザーバビリティ

kubectl-mcp-server の Cilium ツール (8 個) を使用して eBPF ベースのネットワークを管理します。

適用するタイミング

以下の場合にこのスキルを使用します:

• ユーザーが言及: 「Cilium」「Hubble」「eBPF」「ネットワークポリシー」「フロー」
• オペレーション: ネットワークポリシー管理、トラフィック観察、L7 フィルタリング
• キーワード: 「ネットワークセキュリティ」「トラフィックフロー」「ドロップされたパケット」「接続性」

優先度ルール

優先度	ルール	インパクト	ツール
1	Cilium インストール検出を最初に実行	CRITICAL	cilium_detect_tool
2	エージェント状態でヘルスチェック	HIGH	cilium_status_tool
3	フロー デバッグに Hubble を使用	HIGH	hubble_flows_query_tool
4	デフォルト拒否から開始	MEDIUM	CiliumNetworkPolicy

クイックリファレンス

タスク	ツール	例
Cilium 検出	cilium_detect_tool	cilium_detect_tool()
エージェント状態	cilium_status_tool	cilium_status_tool()
ポリシーをリスト	cilium_policies_list_tool	cilium_policies_list_tool(namespace)
フローをクエリ	hubble_flows_query_tool	hubble_flows_query_tool(namespace)

インストール確認

cilium_detect_tool()

Cilium ステータス

cilium_status_tool()

ネットワークポリシー

ポリシーをリスト表示

cilium_policies_list_tool(namespace="default")

ポリシー詳細を取得

cilium_policy_get_tool(name="allow-web", namespace="default")

Cilium ネットワークポリシーを作成

kubectl_apply(manifest="""
apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: allow-web
  namespace: default
spec:
  endpointSelector:
    matchLabels:
      app: web
  ingress:
  - fromEndpoints:
    - matchLabels:
        app: frontend
    toPorts:
    - ports:
      - port: "80"
        protocol: TCP
  egress:
  - toEndpoints:
    - matchLabels:
        app: database
    toPorts:
    - ports:
      - port: "5432"
        protocol: TCP
""")

エンドポイント

cilium_endpoints_list_tool(namespace="default")

アイデンティティ

cilium_identities_list_tool()

ノード

cilium_nodes_list_tool()

Hubble フローオブザーバビリティ

hubble_flows_query_tool(
    namespace="default",
    pod="my-pod",
    last="5m"
)

hubble_flows_query_tool(
    namespace="default",
    verdict="DROPPED"
)

hubble_flows_query_tool(
    namespace="default",
    type="l7"
)

L7 ポリシーを作成

kubectl_apply(manifest="""
apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: api-policy
  namespace: default
spec:
  endpointSelector:
    matchLabels:
      app: api
  ingress:
  - fromEndpoints:
    - matchLabels:
        app: frontend
    toPorts:
    - ports:
      - port: "8080"
        protocol: TCP
      rules:
        http:
        - method: GET
          path: "/api/v1/.*"
        - method: POST
          path: "/api/v1/users"
""")

クラスタメッシュ

kubectl_apply(manifest="""
apiVersion: cilium.io/v2
kind: CiliumClusterwideNetworkPolicy
metadata:
  name: allow-cross-cluster
spec:
  endpointSelector:
    matchLabels:
      app: shared-service
  ingress:
  - fromEntities:
    - cluster
    - remote-node
""")

トラブルシューティングワークフロー

Pod がサービスに到達できない

cilium_status_tool()
cilium_endpoints_list_tool(namespace)
cilium_policies_list_tool(namespace)
hubble_flows_query_tool(namespace, pod, verdict="DROPPED")

ポリシーが機能していない

cilium_policy_get_tool(name, namespace)
cilium_endpoints_list_tool(namespace)
hubble_flows_query_tool(namespace)

ネットワークパフォーマンスの問題

cilium_status_tool()
cilium_nodes_list_tool()
hubble_flows_query_tool(namespace, type="l7")

ベストプラクティス

1. デフォルト拒否から開始: すべてを拒否するベースラインポリシーを作成
2. ラベルを一貫して使用: ポリシーはラベルセレクタに依存
3. Hubble で監視: ポリシー変更の前後にフローを観察
4. ステージング環境でテスト: ポリシーが接続性を損なわないことを確認

前提条件

• Cilium: すべての Cilium ツールに必須

  cilium install
  

関連スキル

• k8s-networking - 標準 K8s ネットワーキング
• k8s-security - セキュリティポリシー
• k8s-service-mesh - Istio サービスメッシュ