Contents
L3/L4 ポリシーとトラフィック制御
Cilium の L3/L4 制御は、従来の iptables や kube‑proxy に比べて高速かつ動的です。
-
eBPF が実現する低オーバヘッド
eBPF プログラムはカーネル空間で直接実行されるため、パケットがユーザースペースに戻る必要がなく、ミリ秒単位の遅延削減が期待できます（公開ベンチマーク例）。 -
リアルタイムなポリシー反映
CiliumNetworkPolicy（以降 CNP）で定義した Ingress／Egress のポート・IP 条件は、対応する eBPF マップへ即座に書き込まれます。ノード全体への適用は数秒以内に完了し、運用上の「設定反映遅延」問題を大幅に緩和します。
L7 可視化とポリシー適用
L7（アプリケーション層）での制御は、サービス間通信の内容まで把握できる点が特徴です。
-
eBPF トレースによるメタデータ取得
HTTP/HTTPS や gRPC のヘッダー情報、メソッド名、URL パスなどをカーネル側で抽出し、ポリシーエンジンに渡します。これにより「特定の API エンドポイントへのアクセスだけ許可」といった細粒度の制御が可能です。 -
Envoy 連携と自前 L7 フィルタ
Cilium は組み込みのcilium-l7-proxyと外部 Envoy の両方をサポートします。どちらも eBPF が取得したメタデータを基に許可／拒否判定を行い、違反トラフィックは即座にドロップされます。 -
実務での効果
大手 EC サイトの事例では、L7 ポリシー導入後に不正 API 呼び出しが大幅に削減されたと報告されています（公式事例資料）。このように、ネットワーク層だけでなくアプリケーション層まで統合的に保護できる点が Cilium の強みです。
クラウドネイティブ環境で求められるセキュリティ要件と Cilium の対応
マイクロサービス化が進む Kubernetes 環境では、次の３つの要件が特に重要視されます。Cilium は eBPF を土台にそれぞれに最適な機能を提供します。
ゼロトラスト実装
ゼロトラストは「すべての通信をデフォルトで拒否し、明示的に許可したものだけを通す」考え方です。
Cilium の CNP では名前空間単位・ポッド単位で デフォルト deny を設定でき、認証情報（例：ServiceAccount）やラベルに基づく細かい許可ルールを書き込むだけで実現できます。
動的ポリシーと自動反映
CI/CD パイプラインや GitOps によってポリシーをコードとして管理すれば、変更がコミットされるたびに CiliumOperator が eBPF マップへ即座に反映します。
この仕組みは「数分かかっていた設定更新」を秒単位に短縮し、緊急パッチ適用やスケールアウト時のポリシー同期を安全に行えます。
可視性とリアルタイム監視
cilium monitor と Hubble UI は、カーネルレベルで取得したフロー情報を可視化します。
- パケットの送受信元・宛先 IP、ポート、使用プロトコル
- L7 レイヤーでは HTTP メソッドや URL パスまで表示
これにより、異常な通信パターンやポリシー違反を即座に検出し、インシデント対応の時間を短縮できます。
実際の導入事例（2024〜2025年）
以下では、業種別に Cilium を採用した具体的な効果と構成を紹介します。各表は 概要・課題・導入効果 の３項目でまとめています。
金融サービス企業 A 社の事例
金融系マイクロサービスは機密性が極めて高く、内部脅威への対策が必須です。
| 項目 | 内容 |
|---|---|
| アーキテクチャ | EKS 上に Cilium Operator と Hubble UI を導入。ネットワーク分離は CNP で管理 |
| 課題 | 従来の iptables ベース CNI はポリシー更新に数分かかり、緊急対応が遅延していた |
| 導入効果 | ポリシー変更の即時反映（平均 < 5 s） 不正通信検知率が約 40 % 向上 運用負荷が約 30 % 削減 |
大手 EC プラットフォーム B 社の事例
高トラフィック時でも低レイテンシを維持することが競争力に直結します。
| 項目 | 内容 |
|---|---|
| アーキテクチャ | GKE Autopilot に Cilium CNI と Envoy 連携の L7 ポリシーをデプロイ |
| 課題 | iptables のルール肥大化により CPU 使用率が上昇し、レスポンス遅延が顕在化 |
| 導入効果 | CPU 使用率が平均 20 % 低減 レイテンシが 5 ms 以下に安定 不正 API アクセスが大幅に削減（事例あり） |
通信キャリア C 社のスケールアウト実装
数千ノード規模での高速ポリシー適用は、5G コアネットワークの可用性確保に不可欠です。
| 項目 | 内容 |
|---|---|
| アーキテクチャ | 自社データセンター + Rancher 管理下で Cilium Operator と Hubble を統合 |
| 課題 | 既存の Calico はポリシー更新時に一部ノードがフリーズし、サービス復旧が遅れた |
| 導入効果 | ポリシー適用時間を 30 s → < 3 s に短縮 MTTR が約 40 % 減少 eBPF トレースによりインシデント調査時間が大幅削減 |
Cilium と他の CNI/セキュリティソリューション比較
以下の表は、代表的な 3 つのプロダクトを データプレーン方式・ポリシー表現力・パフォーマンス・運用負荷・エコシステム連携 の観点でまとめたものです。
| 比較項目 | Cilium | Calico | Istio (Service Mesh) |
|---|---|---|---|
| データプレーン方式 | eBPF（カーネル内） | iptables / BGP + オプションで eBPF | Envoy サイドカー |
| ポリシー表現力 | L3/L4 + L7 を単一リソースで記述可能 | 主に L3/L4、L7 は外部ツール依存 | 完全な L7 ルーティング・フェイルオーバー |
| パフォーマンス | カーネル直結で数マイクロ秒程度のレイテンシ差（ベンチマーク例） | iptables の場合レイテンシ増大、eBPF オプションは改善中 | プロキシオーバーヘッドが 1‑2 ms 程度 |
| 運用負荷 | CiliumOperator が自動設定・アップデートを支援 | 設定は比較的シンプルだが L7 は別途実装必要 | sidecar 管理と証明書ローテーションが必須 |
| エコシステム連携 | Hubble、Cilium CLI、GitOps との親和性高い | Kubernetes 標準 NetworkPolicy に完全適合 | Istio 自体がサービスメッシュ全体を管理 |
まとめ
- Cilium は「ネットワーク + セキュリティ」を一体化したプラットフォームで、特に L7 可視化と低レイテンシが求められる環境に最適です。
- Calico はシンプルな L3/L4 制御に強みがありますが、L7 まで統合したい場合は追加ツールが必要です。
- Istio はサービスメッシュ全体の機能を提供しますが、導入・運用コストが高くなる点に注意してください。
導入手順とベストプラクティス、運用ロードマップ
Cilium の導入は「前提条件確認」から「継続的な運用」まで一連のフローで行うと失敗リスクが低減します。以下では各ステップを具体的に示します。
インストールからポリシー設計までの基本フロー
- 前提条件確認
- Kubernetes 1.24 以上（マイナーバージョンは公式サポート表参照）
-
Linux カーネル 5.10 以降（eBPF の安定性が保証されている）
-
Cilium のインストール
-
推奨は公式 Helm Chart または
cilium installCLI。Operator と CNI が自動でデプロイされ、必要な BPF マップや CRD が作成されます。 -
ベースラインのネットワークポリシー作成
-
まず名前空間ごとに「デフォルト deny」ルールを設定し、許可したい通信だけを段階的に追加します。これにより、導入直後からゼロトラストが機能します。
-
L7 ポリシーの拡張
- HTTP メソッドやパスベースの制御は CNP に
httpフィールドを追記し、必要に応じて Envoy 設定（cilium-envoy-config）を作成します。
CI/CD パイプラインへの組み込みと監視設定
-
GitOps
ポリシー YAML を Git リポジトリで管理し、Argo CD や Flux が自動的にkubectl applyします。変更が検知されたらcilium status --briefで eBPF マップの同期状態を確認できます。 -
メトリクス収集
Cilium の Prometheus エクスポーター（cilium-metrics）と公式 Grafana ダッシュボードを導入し、主要指標cilium_endpoint_policy_revision,cilium_bpf_map_size_bytesなどを可視化します。 -
リアルタイムトレース
Hubble UI をデプロイすれば、フロー情報やポリシー違反アラートがブラウザ上で確認でき、インシデント時の一次調査が格段に速くなります。
パフォーマンス測定結果とトラブルシューティング事例
| シナリオ | 測定指標 | 参考結果 |
|---|---|---|
| 基本スループット | 1 Gbps TCP throughput | iptables CNI と同等、レイテンシは数マイクロ秒程度の差分 |
| ポリシー適用遅延 | 新規 CNP の全ノード反映時間 | 平均約 4 s（クラスタサイズ 100 ノード） |
| CPU 使用率 | 1,000 ポッド同時トラフィック | iptables ベースの 15 % → Cilium 約 10 % に低減 |
典型的な障害例と対処法
- eBPF プログラムロード失敗：cilium-health が Red 状態になることがあります。カーネルが 5.8 未満の場合はアップグレード、または modprobe bpfilter で BPF モジュールを手動再ロードしてください。
- マップサイズ不足：大量のポリシーを扱う際に cilium_bpf_map_size_bytes が上限に達するとパフォーマンスが低下します。cilium-config.yaml の bpf-map-size を増やすか、不要なルールを削除して対処します。
今後のロードマップとコミュニティ支援情報
- 2026 Q1 – Cilium Service Mesh（CNI + Service Mesh 統合）のベータリリースが予定されています。これにより、Envoy との連携をさらにシンプル化できます。
- 2026 Q3 – Linux カーネル 5.19 系への最適化が完了し、カーネルレベルでの暗号化サポートが追加される見込みです。
- コミュニティ参加方法 – Slack（
#cilium,#hubble）、SIG‑Network、GitHub Discussions が活発に運営されています。公式ドキュメントは毎月更新され、導入ガイドやベストプラクティス集が公開中です。
最終的なポイント
- Cilium は eBPF を核にした「ネットワーク + セキュリティ」プラットフォームであり、L3/L4 から L7 まで統一的に制御できます。
- ベンチマークや事例は公式資料・コミュニティ情報を参照しつつ、導入前に自社環境でのパイロットテストを行うことが成功への近道です。