eBPF-Datapath
CNI mit eBPF-Datapath: Networking, Load-Balancing, Policy und Observability laufen als eBPF-Programme im Kernel, mit kube-proxy-Replacement ohne iptables-Ketten pro Service.
Komponenten: cilium-agent
(DaemonSet, je Node), cilium-operator (clusterweite
Aufgaben, z.B. IPAM), cilium-envoy (DaemonSet,
L7-Proxy), Hubble (Observability),
cilium-CLI. CNCF-graduated.
Identity statt IP
Jeder Endpoint bekommt eine clusterweite Security-Identity, abgeleitet aus den security-relevanten Pod-Labels. Endpoints mit identischem Label-Set teilen eine Identity.
Policy-Entscheidungen laufen gegen die Identity, nicht gegen flüchtige Pod-IPs. Das skaliert unabhängig von der Endpoint-Zahl.
cilium status --wait kubectl get ciliumendpoints -A # Identity je Pod kubectl get ciliumidentities