Cilium HubbleでKubernetesネットワークを可視化する方法

はじめに: Kubernetesネットワーク可視化の重要性とCilium Hubbleの概要

Kubernetes環境では、Pod間通信やセキュリティポリシーの適用状況をリアルタイムで把握する必要があるケースが多々あります。Cilium Hubbleは、eBPF技術を活用し、ネットワークトラフィックの可視化とポリシーモニタリングを提供するツールです。本記事では、Cilium + Hubbleによるネットワーク監視の実装手順と使い方を具体的に解説します。

Kubernetesクラスターの拡大に伴うネットワークトラブルの発生頻度は増加しており、可視化ツールの導入が運用の効率化に直結します。CiliumはLinuxカーネルレベルでのeBPF処理を採用し、パフォーマンスと観測精度の両立を目指しています。

Cilium + Hubbleの環境構築手順(kind/AKSでの導入)

Kubernetesクラスターにおけるネットワーク可視化は、CiliumとHubbleの連携が不可欠です。以下にkindとAKSでの導入手順を解説します。

kindクラスターの事前準備

ローカル環境でテストする際の準備手順を以下に示します。

1. kindのインストール: brew install kind
2. クラスター作成: kind create cluster --name hubble-demo
3. カスタムイメージ指定: Ciliumが動作するため、--imageオプションで適切なイメージを指定します。

blockquote: "クラスターの作成後はkubectlコマンドでリソースの一覧を確認し、ネットワーク設定が正しく適用されているかを検証してください。"

Ciliumのインストール手順

Ciliumの導入にはHelmチャートやYAMLファイルを使用します。以下はkind環境向けの手順です。

1. Helmリポジトリの追加: helm repo add cilium https://charts.cilium.io

2. Ciliumインストール (Hubble UIも併せて有効化):
   bash
helm install cilium cilium/cilium \
--namespace kube-system \
--set hubble.metrics.enabled="{dns,drop,tcp,flow,http}" \
--set hubble.ui.enabled=true

3. インストール確認: kubectl get pods -n kube-systemでCiliumのPod状態を確認します。

AKS環境でのクラスター構築とCilium導入

AKSでの導入手順はkindと異なります。

1. Azure CLI経由でクラスター作成: az aks createコマンドを使用してクラスターを作成します。
2. kubectlの設定: Azure CLIでクラスター接続情報を取得し、az aks get-credentialsで環境変数をセットします。
3. Ciliumインストール: Helmチャートで導入します（kindと同様のコマンド）。

Hubble UIのデプロイとポータルアクセス方法

Hubble UIはネットワークトラフィックの可視化に直感的なUIを提供します。以下に導入手順とアクセス方法を解説します。

Ciliumインストール時の自動デプロイ

Ciliumインストール時に--set hubble.ui.enabled=trueを指定すると、Hubble UIが自動でデプロイされます。

手動でのHubble UIインストールとRBAC設定

手動導入が必要な環境では以下のステップを実施します。

1. UIコンポーネントの取得:
   bash
kubectl apply -f https://raw.githubusercontent.com/cilium/hubble/main/manifests/hubble-ui.yaml

2. RBAC設定 (ServiceAccountとRole):
   | リソースタイプ | 内容 | 補足 |
   |--------------|------|------|
   | Role | ネットワークイベントの読み取り権限 | hubble-readerという名前のRoleを作成 |
   | ClusterRole | クラスターコンテナの監視権限 | 全クラスター範囲で有効化 |
   | ServiceAccount | hubble-ui専用アカウント | kubectl create serviceaccount hubble-ui で作成 |

ポータルへのアクセス方法

Hubble UIにアクセスするには、以下のように設定します。

1. AKS環境: IngressやLoad Balancerを使用して外部IPを取得し、http://<External-IP>:80へ接続します。
2. kind環境: kubectl port-forward svc/hubble-ui 12000でローカルにポートフォワードし、http://localhost:12000を開きます。

ネットワークトラフィック可視化機能の使い方

Hubble UIでは、トラフィックフローのリアルタイム監視や異常検知が可能です。

トラフィックフローのリアルタイム監視

UI画面で「Flow」タブを選択すると、以下のような情報が表示されます:

• 送信元と宛先のPod名・IPアドレス
• プロトコル（TCP/UDP）
• 通信開始時刻と持続時間

blockquote: "リアルタイムで流れているネットワークイベントを確認することで、突然の通信停止や異常なトラフィックボリュームに即座に対応できます。"

リソース間通信のフィルタリング

特定のPodやNamespace間の通信のみを抽出するには、以下を行います:

1. 左サイドバーでフィルタ条件を指定（例: source.namespace=app）
2. 時間範囲を絞り込み、検索キーワードで検出対象を限定します。
3. 「Filter」ボタンで絞り込んだ結果を表示します。

異常検知設定

Hubbleは異常トラフィックの自動検知機能も提供しています。

CiliumNetworkPolicyとの連携事例

CiliumNetworkPolicy（CNP）は、Pod間通信を細かく制御するセキュリティポリシーです。Hubble UIと併用することで、ポリシーアクセスが可視化され、監査に活用できます。

ポリシー適用前のトラフィック分析

CNP導入前の通信パターンを確認するには:

• Hubble UIでflowタブを開き、特定Namespace間での通信を抽出します。
• たとえば、app-frontendからapp-backendへの通信が過剰である場合にポリシー設計が必要になります。

ポリシー実装後の可視化比較

CNPを適用後は、Hubbleで以下のように確認できます:

1. Policy違反のトラフィックは明確に表示され、ドロップイベントが記録されます。
2. 通信フローの変化を時間軸で観測し、ポリシーの影響範囲を検証します。

blockquote: "CNPを適用することで、不正な通信が即座にブロックされ、ネットワークのセキュリティリスクを低減できます。"

eBPFベース観測の特徴と活用シーン

eBPFはカーネルレベルでのデータ収集により、高い精度と性能を実現します。

パフォーマンスメリット

セキュリティ監視への応用

eBPF技術は、以下の場面で活かせます:

• 異常通信パターンの検出（例: 突発的な外部IPとの通信）
• API Gatewayでのトラフィック制御（特定のパスにのみアクセスを許可）
• マルウェア感染時のネットワーク挙動監視

運用自動化との連携

Hubbleデータは、以下のツールと連携して自動化に活かせます:

1. Prometheus + Grafana: 通信量やドロップイベントをグラフ表示
2. Falco: eBPFデータを基にセキュリティイベントを検知
3. Argo Events: 異常発生時に自動でアラートを送信

まとめ

• Cilium + Hubbleの導入により、Kubernetesネットワークの監視精度が飛躍的に向上します。
• Hubble UIは直感的な操作性と詳細なトラフィック可視化を提供し、運用効率化に貢献します。
• CiliumNetworkPolicyとの連携で、セキュリティポリシーの適用状況が明確になります。
• eBPF技術は性能と精度の両立を実現し、クラウドネイティブ環境において不可欠な存在です。

公式ドキュメントとサンプルコードを参照しながら、自社環境でのネットワーク可視化を試してみましょう。