Contents
Cilium Hubbleの導入意義と特徴
Kubernetesクラスターにおけるネットワーク観測は、セキュリティリスクの早期発見や運用安定性を高めるために不可欠です。しかし、従来の方法ではポリシー違反の検出が遅延したり、原因特定に時間がかかるといった課題がありました。Cilium Hubbleは、これらの問題を解決するための監視ツールで、ネットワークトラフィックのリアルタイム分析やポリシーログの可視化を可能にします。
本記事では、最新バージョン（Cilium v1.13以降）に対応した具体的な導入・設定手順をステップバイステップで解説します。ネットワーク監視の重要性とHubbleの特長を理解した上で、実環境での運用準備に活かしてください。
Kubernetesネットワーク観測の課題
Kubernetes環境では、アプリケーション間の通信が複雑化するため、不正アクセスやポリシー違反の検出が困難です。特に以下のような課題があります：
- トラフィックの可視化不足：異常な通信パターンをリアルタイムで確認できない
- ポリシーログの収集困難：従来の方法ではログ取得に時間がかかる
- トラブルシューティングの非効率：問題が発生した際、原因特定までに多くの手間がかかる
これらを解決するためには、ネットワークトラフィックをリアルタイムで監視し、ポリシー違反を即座に検出できるツールが必要です。
Hubbleが解決する問題点
Cilium Hubbleは、以下の3つのポイントでネットワーク観測の課題を解決します：
| 課題 | Hubbleによる対応 |
|---|---|
| ログ収集の遅延 | イベントドリブンアーキテクチャによりリアルタイムでの監視が可能 |
| ポリシー違反の特定困難 | ネットワークポリシーログを可視化し、異常通信の検出を迅速化 |
| トラブルシューティングの非効率 | グラフィカルなダッシュボードで問題の根本原因を明確に |
これらの機能により、運用チームはリスクを早期に発見・対応できる体制が整います。
導入前の前提条件確認
Cilium Hubbleを導入する前に、KubernetesクラスターおよびOS環境の要件を確認することが重要です。以下に必要な項目を具体的に記載します。
Kubernetesクラスター要件
Cilium v1.13以降では、以下が前提条件となります：
- Kubernetesバージョン: v1.24〜v1.26（2023年現在のサポート範囲）
- CNIプラグイン: Ciliumが正しくデプロイされていること
- リソース制約: メモリは512MB以上、CPUは1コア以上を推奨
注意: Kubernetes v1.26は2023年11月にリリースされた最新バージョンです。古いバージョンを使用している場合は、クラスターのアップグレードをお勧めします。
クラスターの詳細はkubectl cluster-infoで確認し、必要に応じてアップグレードしてください。
OSカーネルバージョンの確認方法
CiliumはLinuxカーネルの高度な機能（eBPF）を活用しているため、カーネルバージョンの確認が必須です。以下のコマンドで確認できます：
|
1 2 |
uname -r |
対応バージョン: Linux 5.10以降
不対応例: Ubuntu 20.04 LTS（カーネル5.4）
注意: Ubuntu 20.04 LTSは公式サポートが2025年までありますが、標準のカーネルバージョン（5.4）ではeBPF機能が十分に動作しない可能性があります。最新のカーネルをインストールするか、Ubuntu 22.04 LTSのようなより新しいOSバージョンを使用することをお勧めします。
不適切なバージョンではCiliumが動かず、Hubbleの導入に失敗する可能性があります。
ストレージクラスとリソース制約
HubbleはPersistentVolumeClaim（PVC）を使用してメトリクスデータを保存します。ストレージクラスおよびリソース制限を以下のように設定してください：
| 項目 | 推奨値 | 補足 |
|---|---|---|
| ストレージクラス | standard または ssd |
データ保持の安定性を確保 |
| PVCサイズ | 10GiB以上 | メトリクスアグリゲーションに応じて拡張可能 |
クラスターに適したストレージクラスが存在しない場合は、管理者と相談して新たに作成してください。
Helmチャートによるインストール手順
Helmを使用したCilium Hubbleのインストールは、以下3ステップで完了します。事前にHelmクライアントがインストールされている必要があります。
Helmとは？
Kubernetes用のパッケージマネージャーで、複雑なデプロイ手順を簡略化します。
Helmリポジトリの追加
HelmリポジトリにCilium公式リポジトリを追加します：
|
1 2 |
helm repo add cilium https://charts.cilium.io |
リポジトリの同期が必要な場合は、以下を実行してください：
|
1 2 |
helm repo update |
URL確認: GitHubリポジトリ
https://github.com/cilium/chartsは2023年現在も有効です。
カスタム設定ファイルの作成
values.yamlでHubbleのカスタム設定を行います。基本的にはデフォルト値を使用できますが、必要に応じて以下を変更してください：
- メトリクス収集間隔（例:
metrics.interval: "10s"） - 監視対象のNamespaceフィルタリング（例:
namespaces: ["default", "prod"]）
ファイル作成後は、以下のようにリポジトリを指定してインストールします：
デプロイ実行コマンド
HelmチャートでCilium Hubbleをデプロイするには以下のコマンドを使用してください：
|
1 2 |
helm install hubble cilium/hubble --namespace kube-system --values values.yaml |
注意: 初回インストール時は--create-namespaceオプションを付与し、kube-system名前空間を作成してください。
ネットワークポリシーの監視設定
Hubbleはネットワークポリシーログの収集・可視化を通じて、異常な通信パターンやポリシー違反を検出します。このセクションでは、具体的な設定手順とトラブルシューティング事例を紹介します。
Hubble Agentの有効化
Hubble Agentは、ネットワークトラフィックをリアルタイムで監視するためのコンポーネントです。以下のコマンドで有効化します：
|
1 2 |
kubectl apply -f https://raw.githubusercontent.com/cilium/hubble/master/examples/minikube/hubble.yaml |
確認方法:
kubectl get pods -n kube-system | grep hubble-agent でポッドが正常に起動しているかを確認してください。
ポリシーログのフィルタリング方法
Hubbleでは、以下のようなフィルタリングをサポートしています：
- Namespace指定:
hubble --namespace prod - Pod名指定:
hubble --pod my-pod - IPアドレス指定:
hubble --source 10.244.0.5
事例:
あるポッドから異常な通信が発生している場合、以下のようにフィルタリングすることで迅速に原因を特定できます：
|
1 2 |
hubble --namespace default --source my-pod |
メトリクスアグリゲーションの構成
Hubbleはメトリクスデータの収集・アグリゲーションによって、ネットワークのパフォーマンスをリアルタイムで監視できます。
Hubble Operatorのデプロイ
Hubble Operatorは、メトリクス収集と可視化に必要なコンポーネントです。以下のようにデプロイしてください：
|
1 2 |
kubectl apply -f https://raw.githubusercontent.com/cilium/hubble/master/examples/minikube/operator.yaml |
注意: 既存のHubble Operatorが存在する場合は、kubectl deleteで削除してから再インストールしてください。
メトリクス収集間隔の最適化
メトリクス収集間隔は以下のパラメータで設定できます：
- デフォルト値:
10s - カスタム設定例:
metrics.interval: "5s"（高頻度での監視が必要な場合）
最適化のポイント:
- 高負荷環境では、間隔を短くすることで異常検出が早まる
- メトリクスデータ量が多い場合は、間隔を長くしてリソース消費を抑える
Prometheus/Grafanaとの連携方法
HubbleのメトリクスデータをPrometheusとGrafanaに連携することで、より詳細な可視化が可能です。
Prometheusとは？
オープンソースの監視システムで、時間系列データを収集・保存します。Grafanaとは？
メトリクスやログを可視化するためのツールです。
メトリクスエクスポーターの設定
HubbleはPrometheus Exporter形式でメトリクスを提供しています。以下のようにServiceMonitorを作成してください：
|
1 2 3 4 5 6 7 8 9 10 11 |
apiVersion: monitoring.coreos.com/v1 kind: ServiceMonitor metadata: name: hubble-metrics spec: selector: matchLabels: app: hubble endpoints: - port: metrics |
確認方法:
kubectl get servicemonitorsで正しく設定されているかを確認してください。
可視化用ダッシュボードテンプレート
Grafanaでは、Hubbleのメトリクスを以下の通り可視化できます：
- Dashboard > New Dashboard を選択
- Import > Paste JSON から以下を貼り付け（例: https://github.com/cilium/hubble/tree/master/examples/grafana）
テンプレート使用時に注意点：
- Prometheusデータソースが正しく設定されていること
- メトリクスエクスポーターのポート番号（例: 9401）が一致していること
実環境でのテストとトラブルシューティング
Hubbleを実環境に導入する前に、Vagrant環境での動作確認が重要です。以下に構築手順とよくあるエラーの対処法を解説します。
Vagrant環境構築手順
1. Vagrantfile作成
以下のテンプレートを使用してVagrantfileを作成してください：
|
1 2 3 4 5 |
Vagrant.configure("2") do |config| config.vm.box = "generic/ubuntu2204" config.vm.provision "shell", path: "provision.sh" end |
2. provision.sh作成
以下のようにKubernetesクラスターとCiliumのデプロイスクリプトを記述します：
|
1 2 3 4 |
#!/bin/bash curl -s https://raw.githubusercontent.com/kubernetes/release/v1.26.0/scripts/deploy-k8s.sh | bash kubectl apply -f https://github.com/cilium/cilium/releases/download/v1.13.1/manifest.yaml |
3. Vagrant起動
|
1 2 3 |
vagrant up vagrant ssh |
よくあるエラーの対処法
| エラーメッセージ | 対応策 |
|---|---|
Error: failed to create pod sandbox |
Ciliumが正しくデプロイされていない可能性。kubectl get pods -n kube-systemで確認 |
Cannot connect to Prometheus endpoint |
メトリクスエクスポーターのポート設定を再確認（例: 9401） |
Hubble Agent not running |
ポッドのログを確認：kubectl logs hubble-agent-xxxxx -n kube-system |
記事まとめ
本記事では、Cilium Hubbleの導入意義と設定手順について詳しく解説しました。以下が本記事の要点です：
- Kubernetesネットワーク観測の課題を理解し、Hubbleによる解決策を把握
- クラスター要件・カーネルバージョン確認を実施して導入環境を整える
- Helmチャートでのインストール手順とカスタム設定方法をステップバイステップで解説
- ネットワークポリシー監視設定とメトリクスアグリゲーションの構成に焦点を当てた
- Prometheus/Grafanaとの連携例や実環境でのトラブルシューティング方法も紹介
読者の皆さんは、Vagrant環境で動作確認し、自社クラスターでの導入準備を行ってください。