🚨 あなたのKubernetesファイアウォール、実は全開かもしれません！Ciliumの3つのセキュリティモードを徹底解説

こんにちは！Kubernetes環境でのネットワークセキュリティについて悩んでいませんか？🤔 多くの皆さんがeBPFベースの強力なネットワーキング/セキュリティソリューションであるCiliumを使用していることでしょう。CiliumNetworkPolicyを一生懸命作成して適用したのに、「あれ？なぜポリシーが適用されないんだろう？」とか「何もしていないのに、なぜ通信がすべてブロックされたんだろう？」といった経験はありませんか？

今日は、多くの人が見落としがちですが、クラスター全体のセキュリティレベルを決定する非常に重要な設定、Ciliumのポリシー適用モード(Policy Enforcement Mode)について深く掘り下げていきます。この設定一つで、あなたのクラスターは鉄壁の要塞にも、開け放たれた大門にもなり得ます！🚪

---

🌐 全体像：セキュリティの出発点を決めるマスタースイッチ

Ciliumのポリシー適用モードは、クラスター全体に適用されるグローバル設定です。まるで建物のすべてのドアに対する基本ルールを決めるようなものです。「すべてのドアをひとまずロックするか？(Default Deny)」それとも「すべてのドアをひとまず開けておくか？(Default Allow)」を決定するマスタースイッチと言えるでしょう。

このモードは大きく3つに分かれ、それぞれの動作方式とセキュリティレベルは全く異なります。これから一つずつ見ていきましょう。

1. alwaysモード: 🏰 鉄壁の防御！ゼロトラストの始まり

最も強力で安全なモードです。名前の通り、常にポリシーを適用します。

• 動作方式: クラスター内のすべてのPodに対して、デフォルトで「すべての通信を遮断 (Default Deny)」ポリシーを適用します。つまり、CiliumNetworkPolicyを通じて明示的に許可されていないすべてのトラフィックは、容赦なく遮断されます。
• 比喩: すべてのドアが固くロックされた最先端のセキュリティビルです。固く閉ざされたドアを開けるには、誰がどのドアから入ることができるかを明示した入館証(ポリシー)が必ず必要です。
• いつ使うか？:
• セキュリティが非常に重要なプロダクション環境
• 最初からゼロトラスト(Zero Trust)ネットワークモデルを実装したい場合
• 誤操作によるセキュリティの脆弱性を根本から遮断したい場合

注意！ ⚠️ このモードを突然運用環境に適用すると、明示的に許可されたポリシーがないすべてのサービス間の通信が即座に中断される可能性があります。十分なテストとポリシーの準備が必須です！

2. neverモード: 🤠 自由な無法地帯？実はすべて計画通り！

名前の通り、ポリシー適用を全く行わないモードです。

• 動作方式: CiliumNetworkPolicyリソースを作成しても、Ciliumはそれを完全に無視します。すべてのPodは互いに自由に通信できます。Ciliumは純粋にCNI(ネットワークインターフェース)とサービスメッシュ、ロードバランシング機能のみを実行します。
• 比喩: 壁やドアが全くない巨大なオープンスペースオフィスです。誰もがどこへでも自由に移動できます。
• いつ使うか？:
• Ciliumの強力なネットワークポリシー機能よりも、eBPFベースの高性能ネットワーキングや可観測性(Observability)機能に集中したい場合
• ネットワークポリシーを他のセキュリティソリューション(例: Istio)で中央管理している場合
• ポリシー適用による問題を一時的に解決し、原因を特定する必要があるデバッグ状況

このモードは「セキュリティを放棄する」という意味ではありません。ポリシー適用の責任を他の場所に委任したり、特定の目的のために意図的に無効化したりする戦略的な選択である場合があります。

3. defaultモード: 🤔 条件付き適用、段階的セキュリティ強化の鍵

最も混乱しやすいかもしれませんが、最も柔軟なモードです。Ciliumをインストールした際のデフォルト値でもあります。

• 動作方式: このモードは条件付きで動作します。

1. どのCiliumNetworkPolicyの対象(Selector)にも選択されていないPodは、すべてのトラフィックを許可します (Default Allow)。
2. 1つ以上のCiliumNetworkPolicyによって選択されたPodは、その瞬間からデフォルトですべてのトラフィックが遮断(Default Deny)され、当該ポリシーに明示されたルールに従ってのみ通信が許可されます。

• 比喩: 普段はすべてのドアが開いている一般的なビルです。しかし、特定のオフィスドアの前に「セキュリティ区域」という看板(ポリシー)を貼った瞬間、そのオフィスは許可された人だけが出入りできる統制区域に変わります。他のドアは依然として開いています。
• 公式名称ではありませんが…: このモードの動作方式を最もよく表す言葉が、まさにConditional (条件付き) です。設定ファイルにconditionalと書かれているわけではありませんが、この言葉で覚えておくと理解しやすいでしょう。

コードで理解するdefaultモード

このモードがどのように動作するか、実際に確認してみましょう。Ciliumの設定は通常、cilium-configというConfigMapで管理されます。

# cilium-config ConfigMapの一部
apiVersion: v1
kind: ConfigMap
metadata:
  name: cilium-config
  namespace: kube-system
data:
  # ここがポリシーモードを設定する場所です！
  policy-enforcement-mode: "default" # "always", "never" に変更可能

次に、シナリオを通じてdefaultモードの動作を見ていきましょう。frontend、backend、databaseの3つのPodがあると仮定します。

状況1: ポリシーが何もない場合

policy-enforcement-modeがdefaultの状態では、CiliumNetworkPolicyが何もないため、すべてのPodは互いに自由に通信できます。

frontend <---> backend  (O)
frontend <---> database (O)
backend  <---> database (O)

状況2: backendを保護するポリシーを追加

次に、backend Podに対してのみ入ってくる(ingress)トラフィックを制御するポリシーを追加してみましょう。frontend Podからのアクセスのみを許可するポリシーです。

# raw-data: CiliumNetworkPolicyの例
apiVersion: "cilium.io/v2"
kind: CiliumNetworkPolicy
metadata:
  name: backend-policy
  namespace: default
spec:
  endpointSelector:
    matchLabels:
      app: backend # 🎯 このポリシーはapp=backend Podにのみ適用されます。
  ingress:
  - fromEndpoints:
    - matchLabels:
        app: frontend # 🔑 app=frontend Podからのアクセスのみ許可

このポリシーが適用された瞬間、魔法のような変化が起こります！✨

• backend Pod: ポリシーのendpointSelectorに選択されたため、「セキュリティモード」に切り替わります。これで、app: frontendラベルを持つPodのみがbackendにアクセスできるようになります。
• frontend、database Pod: どのポリシーにも選択されていないため、依然として「デフォルト許可」状態を維持します。

結果は以下の通りです。

frontend ---> backend  (O, 정책에 의해 허용)
database ---> backend  (X, 정책에 의해 차단)

# frontendとdatabaseはポリシーの対象ではないため、互いに自由に通信可能
frontend <---> database (O)

このように、defaultモードはクラスター全体の通信を中断させることなく、重要なアプリケーションから段階的にセキュリティを強化していくことができる、非常に実用的な方法です。

---

🧐 一目で比較し、正しい選択をする

モード	動作方式	セキュリティレベル	推奨される使用例
always	すべてのPodをデフォルトで遮断 (Default Deny)	🔒 最上	プロダクション、ゼロトラスト環境
default	ポリシーに選択されたPodのみデフォルトで遮断 (Conditional Deny)	⚠️ 中	段階的なセキュリティ導入、開発/ステージング環境
never	すべてのポリシーを無視、すべてのトラフィックを許可 (Always Allow)	🔓 なし	デバッグ、ポリシーを他のツールで管理する場合

結論：あなたのクラスターに合った服を着せましょう

Ciliumのポリシー適用モードは、単なる設定値一つではなく、クラスター全体のセキュリティ哲学を決定する重要な選択です。

• 最高レベルのセキュリティを望むならalways
• 段階的にセキュリティを導入したいならdefault
• 特別な目的(デバッグなど)があるならnever

今すぐあなたのクラスター設定を確認してみてください。果たしてどのモードで運用されていますか？この記事が、あなたのKubernetes環境に最も適したセキュリティ戦略を立てるのに役立つことを願っています！💪

---