Cilium#

Cilium — это высокопроизводительное сетевое решение (CNI), обеспечивающее маршрутизацию, безопасность и мониторинг сетевого трафика на базе технологии eBPF.

eBPF — это технология в ядре Linux, которая позволяет запускать пользовательские программы внутри пространства ядра без изменения его исходного кода или загрузки дополнительных модулей.

Основные задачи и возможности

  • CNI (Container Network Interface): Обеспечивает подсети и сетевое взаимодействие между pod в кластере.

  • Network Policy: Поддерживает продвинутые политики сети Kubernetes (NetworkPolicy) и расширяет их функциональность для гибкого управления трафиком.

  • Service Mesh (Cilium Service Mesh): Предоставляет возможность реализации Service Mesh с поддержкой L7-политик, мониторинга и шифрования трафика между сервисами.

  • Безопасность (Security): Поддерживает политики безопасности на уровне приложений (L3-L7), защиту от атак, шифрование трафика in-transit (IPSec/ WireGuard).

  • Мониторинг и прозрачность: Встроенные инструменты для наблюдения за сетевым трафиком, трассировки пакетов и аудита безопасности.

  • Высокая производительность: Использование eBPF вместо iptables обеспечивает высокую скорость обработки трафика и масштабируемость.

Примечание

Cilium является единственным инструментом Cni и устанавливается по умолчанию в процессе установки кластера DropApp. По умолчанию работает в режиме замены Kube-proxy.

Конфигурация values#

Значения можно переопределить через редактирование инструмента с именем cilium и указанием нужных values в spec.values. Общее описание конфигурации values для инструментов описано в разделе «Конфигурации инструментов дополнительных компонентов».

namespaceOverride — переопределение пространства имен#

Параметр

Описание

Значение по умолчанию

namespaceOverride

Переопределение пространства имен вместо значения по умолчанию

""

commonLabels — общие метки для всех ресурсов#

Параметр

Описание

Значение по умолчанию

commonLabels

Метки, добавляемые ко всем ресурсам Cilium, создаваемым Helm-чартом

{}

upgradeCompatibility — совместимость при обновлении#

Параметр

Описание

Значение по умолчанию

upgradeCompatibility

Версия Cilium, с которой выполняется обновление. Гарантирует, что ConfigMap для Cilium не изменит критические значения для непрерывной работы. Не требуется для новых установок. Например: "1.7", "1.8", "1.9"

~

debug — параметры отладки#

Параметр

Описание

Значение по умолчанию

debug.enabled

Включение отладочного логирования

false

debug.verbose

Настройка уровней детализации для отладочного логирования.
Возможные значения: flow, kvstore, envoy, datapath, policy

~

debug.metricsSamplingInterval

Установка частоты внутренней выборки метрик агента. Данные доступны через команду "cilium-dbg shell -- metrics -s" и входят в метрики HTML-страницы, включенной в sysdump

"5m"

rbac — настройки RBAC (управление доступом на основе ролей)#

Параметр

Описание

Значение по умолчанию

rbac.create

Активация автоматического создания ресурсов RBAC

true

imagePullSecrets — Secret для загрузки образов#

Параметр

Описание

Значение по умолчанию

imagePullSecrets

Список Secret для загрузки образа контейнера из приватных реестров.
Пример конфигурации:

- name: "image-pull-secret"

[]

iptablesRandomFully — включение флага –random-fully для iptables#

Параметр

Описание

Значение по умолчанию

iptablesRandomFully

Настройка iptables--random-fully. Устраняет проблемы port exhaustion при масштабировании NAT на высоконагруженных кластерах

false

kubeConfigPath — путь к kubeconfig для доступа к Kubernetes API#

Параметр

Описание

Значение по умолчанию

kubeConfigPath

Путь к файлу kubeconfig на хосте; используется агентом для подключения к API-серверу

""

k8sServiceHostRef — динамическая настройка эндпоинта Service через ConfigMap#

Параметр

Описание

Значение по умолчанию

k8sServiceHostRef.name

Имя ConfigMap, содержащего эндпоинт Service

~

k8sServiceHostRef.key

Ключ в ConfigMap, содержащий эндпоинтService

~

k8sServiceHost — адрес API-сервера#

Параметр

Описание

Значение по умолчанию

k8sServiceHost

Адрес API-сервера. Значение "auto" включает автоматическое определение из ConfigMap cluster-info

""

k8sServicePort — порт API-сервера#

Параметр

Описание

Значение по умолчанию

k8sServicePort

Порт Service

""

k8sServiceLookupConfigMapName — имя ConfigMap для поиска при k8sServiceHost=auto#

Параметр

Описание

Значение по умолчанию

k8sServiceLookupConfigMapName

Имя ConfigMap для поиска адреса API-сервера при k8sServiceHost=auto

""

k8sServiceLookupNamespace — пространство имен для поиска ConfigMap с метаданными кластера#

Параметр

Описание

Значение по умолчанию

k8sServiceLookupNamespace

Пространство имен, содержащее k8sServiceLookupConfigMapName, при автоопределении хоста API-сервера. По умолчанию используется kube-public

""

k8sClientRateLimit — ограничение скорости запросов клиента#

Параметр

Описание

Значение по умолчанию

k8sClientRateLimit.qps

Поддерживаемая скорость запросов

~

k8sClientRateLimit.burst

Пиковая скорость запросов агента к API Kubernetes в секунду

~

k8sClientRateLimit.operator.qps

Поддерживаемая скорость запросов для Cilium Operator

~

k8sClientRateLimit.operator.burst

Максимальная скорость всплеска запросов для Cilium Operator. Ограничитель скорости разрешает короткие всплески с более высокой скоростью

~

k8sClientExponentialBackoff — экспоненциальная задержка для client-go#

Параметр

Описание

Значение по умолчанию

k8sClientExponentialBackoff.enabled

Включение экспоненциальной задержки для client-go в агенте Cilium

true

k8sClientExponentialBackoff.backoffBaseSeconds

Настройка базового значения в секундах для экспоненциальной задержки

1

k8sClientExponentialBackoff.backoffMaxDurationSeconds

Настройка максимальной длительности в секундах для экспоненциальной задержки

120

cluster — параметры кластера#

Параметр

Описание

Значение по умолчанию

cluster.name

Имя кластера. Требуется для Cluster Mesh и взаимной аутентификации с SPIRE. Должно соответствовать следующим ограничениям: содержать не более 32 символов; начинаться и заканчиваться строчным алфавитно-цифровым символом; содержать строчные алфавитно-цифровые символы и дефисы между ними. Использование имени "default" не допускается, если Cluster ID отличается от 0

"default"

cluster.id

Уникальный идентификатор кластера. Должен быть уникальным среди всех подключенных кластеров и находиться в диапазоне от 1 до 255. Требуется только для Cluster Mesh, может быть 0, если Cluster Mesh не используется

0

serviceAccount — настройки сервисного аккаунта#

Параметр

Описание

Значение по умолчанию

serviceAccounts.cilium.create

Включение создания ServiceAccount

true

serviceAccounts.cilium.name

Имя ServiceAccount

"cilium"

serviceAccounts.cilium.automount

Включение автоматического монтирования токена ServiceAccount

true

serviceAccounts.cilium.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

serviceAccounts.nodeinit.create

Включение создания ServiceAccount

true

serviceAccounts.nodeinit.enabled

Включение ServiceAccount для node-init

false

serviceAccounts.nodeinit.name

Имя ServiceAccount

"cilium-nodeinit"

serviceAccounts.nodeinit.automount

Включение автоматического монтирования токена ServiceAccount

true

serviceAccounts.nodeinit.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

serviceAccounts.envoy.create

Включение создания ServiceAccount для Envoy

true

serviceAccounts.envoy.name

Имя ServiceAccount для Envoy

"cilium-envoy"

serviceAccounts.envoy.automount

Включение автоматического монтирования токена ServiceAccount

true

serviceAccounts.envoy.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

serviceAccounts.operator.create

Включение создания ServiceAccount для оператора

true

serviceAccounts.operator.name

Имя ServiceAccount оператора

"cilium-operator"

serviceAccounts.operator.automount

Включение автоматического монтирования токена ServiceAccount

true

serviceAccounts.operator.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

serviceAccounts.preflight.create

Включение создания ServiceAccount для предварительных проверок

true

serviceAccounts.preflight.name

Имя ServiceAccount для предварительных проверок

"cilium-pre-flight"

serviceAccounts.preflight.automount

Включение автоматического монтирования токена ServiceAccount

true

serviceAccounts.preflight.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

serviceAccounts.relay.create

Включение создания ServiceAccount для hubble-relay

true

serviceAccounts.relay.name

Имя ServiceAccount hubble-relay

"hubble-relay"

serviceAccounts.relay.automount

Включение автоматического монтирования токена ServiceAccount

false

serviceAccounts.relay.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

serviceAccounts.ui.create

Включение создания ServiceAccount для Hubble UI

true

serviceAccounts.ui.name

Имя ServiceAccount Hubble UI

"hubble-ui"

serviceAccounts.ui.automount

Включение автоматического монтирования токена ServiceAccount

true

serviceAccounts.ui.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

serviceAccounts.clustermeshApiserver.create

Включение создания ServiceAccount для ClusterMesh API-server

true

serviceAccounts.clustermeshApiserver.name

Имя ServiceAccount для ClusterMesh API-server

"clustermesh-apiserver"

serviceAccounts.clustermeshApiserver.automount

Включение автоматического монтирования токена ServiceAccount

true

serviceAccounts.clustermeshApiserver.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

serviceAccounts.clustermeshcertgen.create

Включение создания ServiceAccount для генерации сертификатов. Используется, если clustermesh.apiserver.tls.auto.method=cronJob

true

serviceAccounts.clustermeshcertgen.name

Имя ServiceAccount

"clustermesh-apiserver-generate-certs"

serviceAccounts.clustermeshcertgen.automount

Включение автоматического монтирования токена ServiceAccount

true

serviceAccounts.clustermeshcertgen.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

serviceAccounts.hubblecertgen.create

Включение создания ServiceAccount для генерации сертификатов Hubble. Используется, если hubble.tls.auto.method=cronJob

true

serviceAccounts.hubblecertgen.name

Имя ServiceAccount для генерации сертификатов Hubble

"hubble-generate-certs"

serviceAccounts.hubblecertgen.automount

Включение автоматического монтирования токена ServiceAccount

true

serviceAccounts.hubblecertgen.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

terminationGracePeriodSeconds — тайм-аут корректного завершения работы pod#

Параметр

Описание

Значение по умолчанию

terminationGracePeriodSeconds

Время, отведенное на корректное завершение работы pod

1

agent — установка ресурсов агента Cilium#

Параметр

Описание

Значение по умолчанию

agent

Установка ресурсов агента cilium-agent (DaemonSet и сопутствующие объекты)

true

name — имя DaemonSet агента#

Параметр

Описание

Значение по умолчанию

name

Имя DaemonSet агента

"cilium"

rollOutCiliumPods — автоматическое обновление pod агента Cilium#

Параметр

Описание

Значение по умолчанию

rollOutCiliumPods

Автоматическое обновление pod агента Cilium при обновлении ConfigMap

false

configDriftDetection — автоматический контроль изменений настроек кластера Cilium#

Параметр

Описание

Значение по умолчанию

configDriftDetection.enabled

Активация отслеживания изменений ConfigMap cilium-config с последующим отражением его содержимого в таблице DynamicConfig агента

true

configDriftDetection.driftChecker

Активация проверки расхождений между таблицей DynamicConfig и текущими настройками агента с отправкой метрики cilium_drift_checker_config_delta

true

configDriftDetection.ignoredKeys

Список ключей ConfigMap, которые необходимо игнорировать при расчете расхождений конфигурации

[]

image — параметры контейнерного образа#

Параметр

Описание

Значение по умолчанию

image.override

Переопределение образа контейнера агента

~

image.repository

Путь к репозиторию образа контейнера

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-cilium/cilium'

image.tag

Тег образа контейнера

"v1.18.12"

image.pullPolicy

Политика загрузки образа

"IfNotPresent"

image.digest

Дайджест (SHA-хеш) образа контейнера агента

""

image.useDigest

Использование дайджеста образа вместо тега

false

scheduling — параметры планирования pod агента#

Параметр

Описание

Значение по умолчанию

scheduling.mode

Режим планирования pod DaemonSet Cilium на узлах кластера.
Возможные значения: anti-affinity — применение правил несовместимости pod, kube-scheduler — отказ от этих правил

"anti-affinity"

affinity — правила привязки (affinity и anti-affinity) pod к узлам#

Параметр

Описание

Значение по умолчанию

affinity.podAntiAffinity.requiredDuringSchedulingIgnoredDuringExecution

Правила привязки pod для агента Cilium

 
- topologyKey: kubernetes.io/hostname
  labelSelector:
    matchLabels:
      k8s-app: cilium

nodeSelector — селектор узлов для планирования pod#

Параметр

Описание

Значение по умолчанию

nodeSelector

Селектор узлов для планирования pod

 
kubernetes.io/os: linux

tolerations — параметры Toleration для pod#

Параметр

Описание

Значение по умолчанию

tolerations

Toleration для размещения pod на узлах с ограничениями (taints).
Пример конфигурации:

- operator: Exists
  - key: "key"
    operator: "Equal|Exists"
    value: "value"
    effect: "NoSchedule|PreferNoSchedule|NoExecute"

- operator: Exists

priorityClassName — имя класса приоритета pod#

Параметр

Описание

Значение по умолчанию

priorityClassName

Имя PriorityClass для pod

""

dnsPolicy — политика DNS для pod#

Параметр

Описание

Значение по умолчанию

dnsPolicy

Политика разрешения DNS для pod

""

extraContainers — дополнительные контейнеры#

Параметр

Описание

Значение по умолчанию

extraContainers

Дополнительные контейнеры, добавляемые в DaemonSet Cilium

[]

extraInitContainers — дополнительные init-контейнеры#

Параметр

Описание

Значение по умолчанию

extraInitContainers

Дополнительные init-контейнеры для pod

[]

extraArgs — дополнительные аргументы контейнера агента#

Параметр

Описание

Значение по умолчанию

extraArgs

Дополнительные аргументы контейнера агента

[]

extraEnv — дополнительные переменные окружения агента#

Параметр

Описание

Значение по умолчанию

extraEnv

Дополнительные переменные окружения контейнера агента

[]

extraHostPathMounts — дополнительные монтирования hostPath агента#

Параметр

Описание

Значение по умолчанию

extraHostPathMounts

Дополнительные hostPath-монтирования агента.
Пример конфигурации:

- name: host-mnt-data
  mountPath: /host/mnt/data
  hostPath: /mnt/data
  hostPathType: Directory
  readOnly: true
  mountPropagation: HostToContainer

[]

extraVolumes — дополнительные тома (Volume)#

Параметр

Описание

Значение по умолчанию

extraVolumes

Дополнительные Volume агента

[]

extraVolumeMounts — дополнительные точки монтирования томов (VolumeMounts)#

Параметр

Описание

Значение по умолчанию

extraVolumeMounts

Список дополнительных точек монтирования томов (VolumeMounts) в контейнере

[]

extraConfig — дополнительные параметры конфигурации в ConfigMap#

Параметр

Описание

Значение по умолчанию

extraConfig

Дополнительные параметры конфигурации для включения в ConfigMap cilium-config. Позволяет задать параметры, не имеющие явных полей в values.yaml.
Пример конфигурации:

my-config-a: "1234"
my-config-b: |-
  test 1
  test 2
  test 3

{}

annotations — общие аннотации для всех создаваемых ресурсов#

Параметр

Описание

Значение по умолчанию

annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

podSecurityContext — параметры контекста безопасности pod#

Параметр

Описание

Значение по умолчанию

podSecurityContext.appArmorProfile.type

Опции AppArmorProfile для cilium-agent и init-контейнеров

"Unconfined"

podSecurityContext.seccompProfile.type

Тип профиля Seccomp

"Unconfined"

podAnnotations — аннотации для pod агента#

Параметр

Описание

Значение по умолчанию

podAnnotations

Аннотации, добавляемые к pod агента

{}

podLabels — метки для pod агента#

Параметр

Описание

Значение по умолчанию

podLabels

Метки, добавляемые к pod агента

{}

resources — запросы и лимиты ресурсов контейнера#

Параметр

Описание

Значение по умолчанию

resources.limits.cpu

Ограничения ресурсов CPU для контейнера агента

"4000m"

resources.limits.memory

Ограничения ресурсов памяти для контейнера агента

"4Gi"

resources.requests.cpu

Запрашиваемые ресурсы CPU контейнера

"100m"

resources.requests.memory

Запрашиваемые ресурсы памяти контейнера

"512Mi"

initResources — ограничения и запросы ресурсов для init-контейнеров#

Параметр

Описание

Значение по умолчанию

initResources.limits.cpu

Ограничения ресурсов CPU для init-контейнеров агента

"1000m"

initResources.limits.memory

Ограничения ресурсов памяти для init-контейнеров агента

"1024M"

initResources.requests.cpu

Запрашиваемые ресурсы CPU для init-контейнеров агента

"100m"

initResources.requests.memory

Запрашиваемые ресурсы памяти для init-контейнеров агента

"64Mi"

securityContext — параметры контекста безопасности контейнера#

Параметр

Описание

Значение по умолчанию

securityContext.allowPrivilegeEscalation

Активация разрешения на эскалацию привилегий в контейнере

false

securityContext.privileged

Запуск контейнеров в привилегированном режиме

false

securityContext.seLinuxOptions.level

Опции SELinux для cilium-agent и init-контейнеров

's0'

securityContext.seLinuxOptions.type

Тип SELinux для безопасности контейнера

'spc_t'

securityContext.capabilities.ciliumAgent

Список привилегий (capabilities) для контейнера cilium-agent

 
- CHOWN
- KILL
- NET_ADMIN
- NET_RAW
- IPC_LOCK
- SYS_MODULE
- SYS_ADMIN
- SYS_RESOURCE
- DAC_OVERRIDE
- FOWNER
- SETGID
- SETUID

securityContext.capabilities.mountCgroup

Список привилегий (capabilities) для init-контейнера mount-cgroup

 
- SYS_ADMIN
- SYS_CHROOT
- SYS_PTRACE

securityContext.capabilities.applySysctlOverwrites

Список привилегий (capabilities) для init-контейнера apply-sysctl-overwrites

 
- SYS_ADMIN
- SYS_CHROOT
- SYS_PTRACE

securityContext.capabilities.cleanCiliumState

Список привилегий (capabilities) для init-контейнера clean-cilium-state

 
- NET_ADMIN
- SYS_MODULE
- SYS_ADMIN
- SYS_RESOURCE

updateStrategy — стратегия обновления ресурсов#

Параметр

Описание

Значение по умолчанию

updateStrategy.type

Тип стратегии обновления

"RollingUpdate"

updateStrategy.rollingUpdate.maxUnavailable

Максимальное количество недоступных pod во время обновления

2

aksbyocni — интеграция AKS BYOCNI#

Параметр

Описание

Значение по умолчанию

aksbyocni.enabled

Включение интеграции Cilium с AKS в режиме BYOCNI. Несовместимо со стандартными AKS-кластерами

false

autoDirectNodeRoutes — автоматические прямые маршруты между узлами#

Параметр

Описание

Значение по умолчанию

autoDirectNodeRoutes

Включение установки маршрутов PodCIDR между рабочими узлами, если рабочие узлы общаются через общий L2-сегмент сети (прямая маршрутизация без туннелирования)

false

directRoutingSkipUnreachable — пропуск маршрутов для узлов в разных L2-сегментах#

Параметр

Описание

Значение по умолчанию

directRoutingSkipUnreachable

Включение пропуска PodCIDR-маршрутов к узлам в других L2-сегментах при включенной прямой маршрутизации

false

annotateK8sNode — аннотация узла#

Параметр

Описание

Значение по умолчанию

annotateK8sNode

Добавление аннотаций с сетевыми метаданными Cilium (IP-пулы, CIDR) на объект Node при инициализации

false

azure — интеграция Azure#

Параметр

Описание

Значение по умолчанию

azure.enabled

Включение нативной интеграции Cilium с Azure. Несовместимо с режимом AKS BYOCNI

false

alibabacloud — интеграция AlibabaCloud ENI#

Параметр

Описание

Значение по умолчанию

alibabacloud.enabled

Включение интеграции Cilium с Alibaba Cloud ENI для использования нативного режима IPAM

false

bandwidthManager — управление пропускной способностью сети#

Параметр

Описание

Значение по умолчанию

bandwidthManager.enabled

Включение управления пропускной способностью для оптимизации TCP/UDP трафика

false

bandwidthManager.bbr

Активация контроля перегрузки BBR TCP для pod

false

bandwidthManager.bbrHostNamespaceOnly

Активация контроля перегрузки BBR TCP для pod только в пространстве имен хоста

false

nat46x64Gateway — шлюз трансляции адресов NAT46/NAT64#

Параметр

Описание

Значение по умолчанию

nat46x64Gateway.enabled

Включить RFC6052 трансляцию для NAT46/NAT64 между IPv4 и IPv6

false

l2announcements — L2-объявления#

Параметр

Описание

Значение по умолчанию

l2announcements.enabled

Включение L2-объявлений для балансировщиков нагрузки

false

l2podAnnouncements — L2-объявления pod#

Параметр

Описание

Значение по умолчанию

l2podAnnouncements.enabled

Включение L2-объявлений pod

false

l2podAnnouncements.interface

Настройка сетевого интерфейса для отправки L2-объявлений (Gratuitous ARP)

"eth0"

bgpControlPlane — плоскость управления BGP#

Параметр

Описание

Значение по умолчанию

bgpControlPlane.enabled

Включение встроенного BGP-маршрутизатора Cilium для анонсирования IP-адресов

false

bgpControlPlane.secretsNamespace.create

Создание пространства имен секретов для Secret BGP

false

bgpControlPlane.secretsNamespace.name

Имя пространства имен для хранения Secret BGP-аутентификации

"kube-system"

bgpControlPlane.statusReport.enabled

Включение отчетов о текущем статусе BGP-сессий в кластере

true

bgpControlPlane.routerIDAllocation.mode

Режим выделения идентификатора маршрутизатора BGP.
Возможные значения: default — из IPv4 или 32 бита MAC, ip-pool — из назначенного пула

"default"

bgpControlPlane.routerIDAllocation.ipPool

IP-пул для выделения идентификатора маршрутизатора BGP при режиме ip-pool

""

bgpControlPlane.legacyOriginAttribute.enabled

Включение использования атрибута BGP ORIGIN для анонсирования IP-адресов балансировщика

false

pmtuDiscovery — обнаружение MTU пути#

Параметр

Описание

Значение по умолчанию

pmtuDiscovery.enabled

Включение обнаружения MTU пути для отправки ICMP-ответов о необходимости фрагментации клиенту

false

bpf — параметры eBPF#

Параметр

Описание

Значение по умолчанию

bpf.autoMount.enabled

Включение автоматического монтирования файловой системы BPF в /sys/fs/bpf

true

bpf.root

Точка монтирования для файловой системы BPF

"/sys/fs/bpf"

bpf.preallocateMaps

Включение предварительного выделения значений карт eBPF

false

bpf.authMapMax

Максимальное количество записей в карте аутентификации

~

bpf.ctAccounting

Включение сбора статистики и учета пакетов в таблице соединений eBPF

false

bpf.ctTcpMax

Максимальный размер eBPF-таблицы отслеживания активных TCP-соединений

~

bpf.ctAnyMax

Максимальный размер eBPF-таблицы для не-TCP (UDP, ICMP) соединений

~

bpf.distributedLRU.enabled

Использование распределенной per-CPU памяти для основных LRU eBPF-карт

false

bpf.events.default.rateLimit

Настройка ограничения числа сообщений в секунду, записываемых в карту событий eBPF. Если rateLimit больше 0, ненулевое значение burstLimit также должно быть указано. Установка burstLimit и rateLimit в 0 отключает ограничение скорости событий eBPF

~

bpf.events.default.burstLimit

Максимальное количество сообщений, записываемых в карту событий eBPF. Если burstLimit больше 0, ненулевое значение rateLimit также должно быть указано. Установка burstLimit и rateLimit в 0 отключает ограничение скорости событий eBPF

~

bpf.events.drop.enabled

Включение событий отбрасывания пакетов

true

bpf.events.policyVerdict.enabled

Включение событий вердикта политики

true

bpf.events.trace.enabled

Включение событий трассировки

true

bpf.lbMapMax

Максимальное количество записей служб в картах балансировщика нагрузки

65536

bpf.natMax

Максимальное количество записей в таблице NAT

~

bpf.neighMax

Максимальное количество записей в neighbor таблице

~

bpf.nodeMapMax

Максимальное количество записей в таблице узлов

~

bpf.policyMapMax

Максимальное количество записей в карте политики эндпоинта

16384

bpf.policyStatsMapMax

Максимальное количество записей в карте глобальной статистики политики

65536

bpf.mapDynamicSizeRatio

Настройка автоматического масштабирования для всех карт eBPF на основе доступной памяти

~

bpf.monitorAggregation

Настройка уровня агрегации уведомлений монитора.
Возможные значения: none, low, medium, maximum

"medium"

bpf.monitorInterval

Настройка интервала между уведомлениями монитора для активных соединений

"5s"

bpf.monitorFlags

Флаги конфигурации отправки системных сетевых событий в Hubble

"all"

bpf.lbExternalClusterIP

Разрешение внешнего доступа к кластеру для служб ClusterIP

false

bpf.lbSourceRangeAllTypes

Включение фильтрации CIDR loadBalancerSourceRange для всех типов служб (не только балансировщика нагрузки). Соответствующие NodePort и ClusterIP (если включены для трафика извне кластера) также будут применять фильтр CIDR

false

bpf.lbAlgorithmAnnotation

Включение возможности определить алгоритм балансировки нагрузки на основе аннотации service.cilium.io/lb-algorithm для каждой службы

false

bpf.lbModeAnnotation

Включение возможности определить режим балансировки нагрузки (SNAT или DSR) через аннотацию service.cilium.io/forwarding-mode для каждой службы

false

bpf.masquerade

Включить нативную поддержку IP-маскирования в eBPF

~

bpf.hostLegacyRouting

Настройка маршрутизации через хост-стек для трафика, поступающего из pod в hostNamespace

~

bpf.tproxy

Настройка TPROXY на базе eBPF для уменьшения зависимости от правил iptables при реализации политики L7

~

bpf.vlanBypass

Настройка явно разрешенных идентификаторов VLAN для обхода логики eBPF. [0] разрешит все идентификаторы VLAN без фильтрации

~

bpf.disableExternalIPMitigation

Отключение защиты от MITM-уязвимости CVE-2020-8554. При установке true блокируется легитимный трафик к ExternalIP внутри кластера

false

bpf.enableTCX

Включение использования tcx-хуков ядра для eBPF. Если установлено значение false, используются legacy tc hooks.

true

bpf.datapathMode

Режим для устройств pod для основного пути прохождения трафика.
Возможные значения: veth, netkit, netkit-l2

"veth"

bpfClockProbe — проверка источника часов eBPF#

Параметр

Описание

Значение по умолчанию

bpfClockProbe

Включение проверки поддержки часовых eBPF-функций для точного отсчета времени

false

cleanBpfState — очистка состояния пути прохождения трафика eBPF#

Параметр

Описание

Значение по умолчанию

cleanBpfState

Удаление старых eBPF-карт и программ при перезапуске Cilium

false

cleanState — очистка локального состояния Cilium#

Параметр

Описание

Значение по умолчанию

cleanState

Очистка всего локального состояния Cilium из init-контейнера DaemonSet cilium-agent. (Включает cleanBpfState: true)

false

waitForKubeProxy — ожидание готовности kube-proxy перед запуском#

Параметр

Описание

Значение по умолчанию

waitForKubeProxy

Ожидание появления правила iptables KUBE-PROXY-CANARY в iptables перед запуском cilium-agent (для корректного взаимодействия с kube-proxy)

false

cni — параметры Container Network Interface#

Параметр

Описание

Значение по умолчанию

cni.install

Установка конфигурации и бинарных файлов CNI в файловую систему

true

cni.uninstall

Удаление конфигурации и бинарных файлов CNI при остановке агента

false

cni.chainingMode

Настройка цепочки над другими плагинами CNI.
Возможные значения: none, aws-cni, flannel, generic-veth, portmap

~

cni.chainingTarget

Имя сети CNI, в которую плагин Cilium должен быть добавлен как chained-плагин

~

cni.exclusive

Включение монопольного управления каталогом CNI-конфигураций на узлах кластера

true

cni.logFile

Настройка файла журнала CNI с политикой ротации в 7 дней

"/var/run/cilium/cilium-cni.log"

cni.customConf

Пропуск записи конфигурации CNI. Примените данную опцию, если запись конфигурации CNI выполняется внешней автоматизацией

false

cni.confPath

Настройка пути к каталогу конфигурации CNI на хосте

"/etc/cni/net.d"

cni.binPath

Настройка пути к каталогу бинарных файлов CNI на хосте

"/opt/cni/bin"

cni.configMap

Имя ConfigMap с пользовательским шаблоном конфигурации CNI-плагина

""

cni.configMapKey

Настройка ключа в CNI ConfigMap для чтения содержимого конфигурации CNI. Для этого также необходимо указать параметр cni.configMap

"cni-config"

cni.confFileMountPath

Настройка пути, куда будет смонтирован ConfigMap внутри pod

"/tmp/cni-configuration"

cni.hostConfDirMountPath

Настройка пути, куда монтируется каталог конфигурации CNI внутри pod

"/host/etc/cni/net.d"

cni.resources.requests.cpu

Запрос ресурса CPU для init-контейнера CNI

"100m"

cni.resources.requests.memory

Запрос ресурса памяти для init-контейнера CNI

"10Mi"

cni.enableRouteMTUForCNIChaining

Включение MTU маршрутов при объединении Cilium с другими CNI

false

cni.iptablesRemoveAWSRules

Удаление правил AWS-CNI из iptables при замене на Cilium

true

connectivityProbeFrequencyRatio — соотношение частоты проверки связности и использования ресурсов#

Параметр

Описание

Значение по умолчанию

connectivityProbeFrequencyRatio

Соотношение частоты проверки связности и использования ресурсов. Значение принимает дробное число в диапазоне [0, 1], где 0 — более частая проверка, 1 — менее частая. Частота проверки динамически корректируется на основе размера кластера

~

conntrackGCInterval — интервал сборки мусора в таблице connection tracking#

Параметр

Описание

Значение по умолчанию

conntrackGCInterval

Интервал очистки устаревших соединений из таблицы отслеживания соединений в секундах

""

conntrackGCMaxInterval — максимальный интервал автоматического запуска сборщика муроса#

Параметр

Описание

Значение по умолчанию

conntrackGCMaxInterval

Настройка максимальной частоты сборки мусора таблицы отслеживания соединений в секундах

""

crdWaitTimeout — тайм-аут ожидания CRD#

Параметр

Описание

Значение по умолчанию

crdWaitTimeout

Тайм-аут доступности CRD-ресурсов при старте Cilium

""

customCalls — хуки для пользовательских программ eBPF#

Параметр

Описание

Значение по умолчанию

customCalls.enabled

Подключение пользовательских eBPF-программ к стандартным сетевым хукам Cilium

false

daemon — параметры демона#

Параметр

Описание

Значение по умолчанию

daemon.runPath

Настройка места хранения состояния Cilium во время выполнения

"/var/run/cilium"

daemon.configSources

Настройка пользовательского списка возможных источников переопределения конфигурации

~

daemon.allowedConfigOverrides

Список ключей ConfigMap, разрешенных для динамического переопределения настроек демона. Имеет приоритет над blockedConfigOverrides. По умолчанию все ключи могут быть переопределены. Чтобы отключить переопределения, установите "none" или измените переменную configSources

~

daemon.blockedConfigOverrides

Список ключей ConfigMap, которые не могут быть переопределены. Значение игнорируется, если установлен allowedConfigOverrides

~

daemon.enableSourceIPVerification

Включение проверки исходного IP-адреса эндпоинта

true

forceDeviceDetection — принудительное обнаружение сетевых интерфейсов#

Параметр

Описание

Значение по умолчанию

forceDeviceDetection

Принудительное автоматическое обнаружение сетевых интерфейсов хоста для работы Cilium

false

ciliumEndpointSlice — срезы эндпоинтов Cilium#

Параметр

Описание

Значение по умолчанию

ciliumEndpointSlice.enabled

Включение функции CiliumEndpointSlice

false

ciliumEndpointSlice.rateLimits

Список опций ограничения скорости для контроллера CiliumEndpointSlice

 
- nodes: 0
  limit: 10
  burst: 20
- nodes: 100
  limit: 50
  burst: 100

identityManagementMode — режим управления идентификаторами#

Параметр

Описание

Значение по умолчанию

identityManagementMode

Выбор компонента для централизованного управления сетевыми идентификаторами.
Возможные значения: "agent", "operator", "both". "Both" используется для миграции между "agent" и "operator"

"agent"

envoyConfig — конфигурация прокси Envoy#

Параметр

Описание

Значение по умолчанию

envoyConfig.enabled

Включение CRD CiliumEnvoyConfig

false

envoyConfig.secretsNamespace.create

Создание пространства имен Secret для CRD CiliumEnvoyConfig

false

envoyConfig.secretsNamespace.name

Имя пространства имен секретов, к которому агенты Cilium предоставляют доступ на чтение

"cilium-secrets"

envoyConfig.retryInterval

Интервал, в котором предпринимается попытка согласования неудавшихся EnvoyConfigs

"15s"

ingressController — контроллер Ingress#

Параметр

Описание

Значение по умолчанию

ingressController.enabled

Включение Ingress-контроллера Cilium (автоматически активирует параметр enable-envoy-config)

false

ingressController.default

Назначение Ingress-контроллера Cilium контроллером по умолчанию в кластере

false

ingressController.loadbalancerMode

Режим балансировщика нагрузки Ingress по умолчанию.
Возможные значения: shared, dedicated

"dedicated"

ingressController.enforceHttps

Активация принудительной переадресации на HTTPS для хостов с настроенным TLS (HTTP-запросы будут перенаправляться с кодом 308)

true

ingressController.enableProxyProtocol

Включение протокола прокси для всех слушателей Ingress

false

ingressController.ingressLBAnnotationPrefixes

Список префиксов для фильтрации аннотаций и меток, которые будут переноситься из ресурса Ingress в создаваемый Service типа LoadBalancer

['lbipam.cilium.io', 'nodeipam.cilium.io', 'service.beta.kubernetes.io', 'service.kubernetes.io', 'cloud.google.com']

ingressController.defaultSecretNamespace

Пространство имен по умолчанию для TLS-секретов, если оно явно не указано в поле .spec.tls[].secretName ресурса Ingress

~

ingressController.defaultSecretName

Имя TLS-секрета по умолчанию, если оно явно не указано в поле .spec.tls[].secretName ресурса Ingress

~

ingressController.secretsNamespace.create

Создание пространства имен для Secret Ingress

false

ingressController.secretsNamespace.name

Имя пространства имен для Secret Ingress

"cilium-secrets"

ingressController.secretsNamespace.sync

Включение автоматической синхронизации всех используемых Ingress TLS-секретов в пространство имен, указанное в secretsNamespace.name

true

ingressController.service.name

Имя общего Service для Ingress-контроллера при работе в режиме shared

"cilium-ingress"

ingressController.service.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

ingressController.service.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

ingressController.service.type

Тип Service для общего балансировщика нагрузки

"LoadBalancer"

ingressController.service.insecureNodePort

Настройка конкретного nodePort для небезопасного HTTP-трафика в общем Service балансировщика нагрузки

~

ingressController.service.secureNodePort

Настройка конкретного nodePort для безопасного HTTPS-трафика в общем Service балансировщика нагрузки

~

ingressController.service.loadBalancerClass

Настройка конкретного балансировщика нагрузки в общем Service балансировщика нагрузки

~

ingressController.service.loadBalancerIP

Настройка конкретного IP-адреса балансировщика нагрузки в общем Service балансировщика нагрузки

~

ingressController.service.allocateLoadBalancerNodePorts

Настройка необходимости выделения порта узла для Service балансировщика нагрузки

~

ingressController.service.externalTrafficPolicy

Политика распределения внешнего трафика для Service Cilium Ingress.
Возможные значения:"Cluster", "Local"

"Cluster"

ingressController.hostNetwork.enabled

Включение запуска Ingress-контроллера Cilium напрямую в сетевом пространстве хоста вместо сети pod

false

ingressController.hostNetwork.sharedListenerPort

Порт хоста, разделяемый между всеми Ingress-ресурсами при включенном ingressController.hostNetwork

8080

ingressController.hostNetwork.nodes.matchLabels

Селектор меток для выбора узлов, на которых должны быть запущены и доступны слушатели Ingress

{}

gatewayAPI — API шлюза#

Параметр

Описание

Значение по умолчанию

gatewayAPI.enabled

Включение встроенного контроллера Gateway API на базе Envoy для управления входящим трафиком (L7-маршрутизация, балансировка, TLS) без использования сторонних Ingress-контроллеров. Автоматически установит enable-envoy-config

false

gatewayAPI.enableProxyProtocol

Включение протокола прокси для всех слушателей Gateway API

false

gatewayAPI.enableAppProtocol

Включение поддержки выбора протокола бэкенда для Gateway API через appProtocol

false

gatewayAPI.enableAlpn

Включает поддержку ALPN (Application-Layer Protocol Negotiation) для TLS-соединений на сетевом шлюзе Cilium Gateway. Позволяет клиентам автоматически переключаться на HTTP/2 или HTTP/3 без сетевых задержек. Включает поддержку appProtocol

false

gatewayAPI.xffNumTrustedHops

Количество вышестоящих прокси-серверов, которым доверяет Cilium Envoy. Указывает, сколько IP-адресов с конца заголовка X-Forwarded-For нужно отбросить, чтобы идентифицировать адрес клиента

0

gatewayAPI.externalTrafficPolicy

Управление маршрутизацией трафика из внешних источников к Service балансировщика нагрузки для всех экземпляров Gateway Cilium GatewayAPI. Игнорируется, когда hostNetwork.enabled == true.
Возможные значения: "Cluster", "Local"

"Cluster"

gatewayAPI.gatewayClass.create

Включение создания ресурса GatewayClass.
Возможные значения: 'true', 'false', 'auto' (определение на основе наличия gateway.networking.k8s.io/v1/GatewayClass в кластере)

"auto"

gatewayAPI.secretsNamespace.create

Создание пространства имен Secret для Gateway API

false

gatewayAPI.secretsNamespace.name

Имя пространства имен Secret Gateway API

"cilium-secrets"

gatewayAPI.secretsNamespace.sync

Включение синхронизации Secret. Если отключено, то TLS-секреты должны поддерживаться внешне

true

gatewayAPI.hostNetwork.enabled

Настройка доступности слушателей Envoy в сети хоста

false

gatewayAPI.hostNetwork.nodes.matchLabels

Метки узлов, на которых должны быть доступны слушатели Ingress

{}

enableXTSocketFallback — резервный режим xt_socket#

Параметр

Описание

Значение по умолчанию

enableXTSocketFallback

Включение резервного режима L7-проксирования при отсутствии модуля ядра xt_socket

true

encryption — параметры шифрования#

Параметр

Описание

Значение по умолчанию

encryption.enabled

Включение прозрачного сетевого шифрования трафика в кластере

false

encryption.type

Метод шифрования сетевого трафика.
Допустимые значения: ipsec, wireguard

"ipsec"

encryption.nodeEncryption

Включение шифрования трафика между узлами (опция применима только при значении encryption.type = "wireguard")

false

encryption.strictMode.enabled

Включение строгого режима WireGuard для межподового трафика (pod2pod)

false

encryption.strictMode.cidr

Указание CIDR-диапазона для строгого режима WireGuard (pod2pod)

""

encryption.strictMode.allowRemoteNodeIdentities

Разрешение динамического поиска идентификаторов удаленных узлов (требуется при наложении CIDR узлов и pod в режимах туннелирования или прямой маршрутизации)

false

encryption.ipsec.keyFile

Указание имени файла ключа внутри Secret, заданного в параметре secretName

"keys"

encryption.ipsec.mountPath

Путь монтирования Secret

"/etc/ipsec"

encryption.ipsec.secretName

Имя Secret, содержащего ключи шифрования IPsec

"cilium-ipsec-keys"

encryption.ipsec.interface

Указание конкретного сетевого интерфейса для передачи зашифрованного трафика

""

encryption.ipsec.keyWatcher

Включение автоматического отслеживания изменений ключей (при отключении для ротации ключей потребуется перезапуск Cilium-агента)

true

encryption.ipsec.keyRotationDuration

Максимальная длительность процесса ротации ключа IPsec (предыдущий ключ удаляется после истечения этого интервала)

"5m"

encryption.ipsec.encryptedOverlay

Включение зашифрованной виртуальной сети IPsec

false

encryption.wireguard.persistentKeepalive

Настройка интервала отправки пакетов для поддержания соединения WireGuard (PersistentKeepalive). Значение 0s отключает опцию

"0s"

endpointHealthChecking — проверка работоспособности эндпоинта#

Параметр

Описание

Значение по умолчанию

endpointHealthChecking.enabled

Включение проверки связности между виртуальными эндпоинтами

true

endpointPolicyUpdateTimeoutDuration — время ожидания обновления политик для эндпоинтов#

Параметр

Описание

Значение по умолчанию

endpointPolicyUpdateTimeoutDuration

Тайм-аут на применение новых политик безопасности к эндпоинтам

~

endpointRoutes — маршруты эндпоинтов#

Параметр

Описание

Значение по умолчанию

endpointRoutes.enabled

Включение маршрутизации трафика напрямую в сетевые интерфейсы pod вместо использования cilium_host

false

k8sNetworkPolicy — поддержка сетевых политик#

Параметр

Описание

Значение по умолчанию

k8sNetworkPolicy.enabled

Включение поддержки сетевых политик Kubernetes

true

endpointLockdownOnMapOverflow — блокировка эндпоинта при переполнении карты#

Параметр

Описание

Значение по умолчанию

endpointLockdownOnMapOverflow

Включение блокировки эндпоинта при переполнении карты политики

false

eni — интеграция с AWS Elastic Network Interface#

Параметр

Описание

Значение по умолчанию

eni.enabled

Включение интеграции с AWS Elastic Network Interface (ENI)

false

eni.awsReleaseExcessIPs

Освобождение неиспользуемых IP-адресов из интерфейсов ENI

false

eni.awsEnablePrefixDelegation

Включение делегирования префиксов для ENI

false

eni.ec2APIEndpoint

Указание пользовательского эндпоинта для AWS EC2 API

""

eni.eniTags

Настройка меток для автоматически создаваемых интерфейсов ENI

{}

eni.gcInterval

Интервал запуска сборщика мусора (Garbage Collector) для непривязанных ENI (значение "0s" отключает очистку)

""

eni.gcTags

Настройка дополнительных меток для ENI, по которым сборщик мусора определяет заброшенные интерфейсы

{}

eni.iamRole

Указание AWS IAM-роли для ServiceAccount (активирует аннотирование ServiceAccount вместо использования секретов)

""

eni.subnetIDsFilter

Фильтрация подсетей по их идентификаторам для создания новых ENI

[]

eni.subnetTagsFilter

Фильтрация подсетей по их меткам для создания новых ENI

[]

eni.instanceTagsFilter

Фильтрация экземпляров AWS EC2 по их меткам для управления созданием ENI

[]

gke — интеграция с Google Kubernetes Engine#

Параметр

Описание

Значение по умолчанию

gke.enabled

Включение интеграции Google Kubernetes Engine

false

healthChecking — проверка состояния#

Параметр

Описание

Значение по умолчанию

healthChecking

Включение проверки состояния

true

healthPort — порт агента Health API#

Параметр

Описание

Значение по умолчанию

healthPort

TCP-порт для агента Health API. Не является портом для cilium-health

9879

healthCheckICMPFailureThreshold — количество неудачных ICMP-запросов#

Параметр

Описание

Значение по умолчанию

healthCheckICMPFailureThreshold

Количество ICMP-запросов, отправляемых для каждой проверки работоспособности перед тем, как узел или эндпоинт будут помечены как недоступные

3

hostFirewall — межсетевой экран узла#

Параметр

Описание

Значение по умолчанию

hostFirewall.enabled

Включение принудительного применения политик хоста на уровне обработки трафика eBPF

false

socketLB — балансировщик нагрузки на уровне сокетов#

Параметр

Описание

Значение по умолчанию

socketLB.enabled

Включение eBPF-балансировки на уровне сокетов

false

certgen — параметры генерации сертификатов#

Параметр

Описание

Значение по умолчанию

certgen.generateCA

СозданиеSecret с сертификатом центра сертификации (CA)

true

certgen.image.override

Переопределение образа контейнера certgen

~

certgen.image.repository

Путь к репозиторию образа контейнера certgen

"quay.io/cilium/certgen"

certgen.image.tag

Тег образа контейнера certgen

"v0.4.6"

certgen.image.digest

Дайджест (SHA-хеш) образа для доверенной верификации

"sha256:<hash>"

certgen.image.useDigest

Использование дайджеста образа вместо тега

true

certgen.image.pullPolicy

Политика загрузки образа

"IfNotPresent"

certgen.ttlSecondsAfterFinished

Секунды, после которых завершенный pod job будет удален

1800

certgen.podLabels

Метки, добавляемые к pod certgen

{}

certgen.annotations.job

Аннотации, добавляемые к начальной Job и CronJob certgen

{}

certgen.annotations.cronJob

Аннотации, добавляемые к CronJob certgen

{}

certgen.nodeSelector

Селектор узлов для планирования pod

{}

certgen.priorityClassName

Имя PriorityClass для pod

""

certgen.tolerations

Toleration для размещения pod на узлах с ограничениями (taints)

[]

certgen.resources

Запросы и ограничения ресурсов для контейнера

{}

certgen.extraVolumes

Дополнительные Volume certgen

[]

certgen.extraVolumeMounts

Список дополнительных точек монтирования томов (VolumeMounts) в контейнере

[]

certgen.affinity

Настройки правила привязки (affinity и anti-affinity) pod к узлам

{}

hubble — компонент наблюдения за сетью#

Параметр

Описание

Значение по умолчанию

hubble.enabled

Включение Hubble

true

hubble.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

hubble.metrics.enabled

Список метрик для сбора.
Пример конфигурации:

enabled:
- dns:query;ignoreAAAA
- drop
- tcp
- flow
- http

~

hubble.metrics.enableOpenMetrics

Включение экспорта метрик Hubble в формате OpenMetrics

false

hubble.metrics.port

Настройка порта для экспорта метрик подсистемы сетевого мониторинга Hubble

9965

hubble.metrics.tls.enabled

Включение TLS для сервера метрик Hubble

false

hubble.metrics.tls.server.existingSecret

Имя Secret, содержащего сертификат и ключ для сервера метрик Hubble

""

hubble.metrics.tls.server.cert

Указание закодированного в base64 PEM-сертификата сервера (рекомендуется использовать existingSecret)

""

hubble.metrics.tls.server.key

Указание закодированного в base64 PEM-ключа сервера (рекомендуется использовать existingSecret)

""

hubble.metrics.tls.server.extraDnsNames

Дополнительные DNS-имена, добавляемые в сертификат при автоматической генерации

[]

hubble.metrics.tls.server.extraIpAddresses

Дополнительные IP-адреса, добавляемые в сертификат при автоматической генерации

[]

hubble.metrics.tls.server.mtls.enabled

Включение взаимной TLS-аутентификации (mTLS) между сервером метрик и клиентами

false

hubble.metrics.tls.server.mtls.useSecret

Использование Secret вместо ConfigMap для CA-сертификата

false

hubble.metrics.tls.server.mtls.name

Имя ConfigMap с CA-сертификатом для проверки клиентов (по умолчанию равен CA сервера)

~

hubble.metrics.tls.server.mtls.key

Ключ ConfigMap, содержащий CA

"ca.crt"

hubble.metrics.serviceAnnotations

Аннотации, добавляемые к Service hubble-metrics

{}

hubble.metrics.serviceMonitor.enabled

Создание ресурсов ServiceMonitor для Prometheus Operator. Требует доступности CRD prometheus

true

hubble.metrics.serviceMonitor.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

hubble.metrics.serviceMonitor.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

hubble.metrics.serviceMonitor.jobLabel

Настройка метки jobLabel для ServiceMonitor

""

hubble.metrics.serviceMonitor.interval

Интервал сбора метрик

"10s"

hubble.metrics.serviceMonitor.scrapeTimeout

Настройка тайм-аута сбора метрик

~

hubble.metrics.serviceMonitor.relabelings

Правила фильтрации и преобразования меток, применяемые к целям сбора до начала сбора метрик

 
- sourceLabels:
    - __meta_kubernetes_pod_node_name
  targetLabel: node
  action: replace
  replacement: ${1}

hubble.metrics.serviceMonitor.metricRelabelings

Правила фильтрации и преобразования меток, применяемые к собранным метрикам

~

hubble.metrics.serviceMonitor.tlsConfig

Настройка TLS для ServiceMonitor

{}

hubble.metrics.dashboards.enabled

Включение автоматического создания дашбордов Grafana для Hubble

false

hubble.metrics.dashboards.label

Метки для автоматического импорта дашбордов в Grafana

"grafana_dashboard"

hubble.metrics.dashboards.namespace

Пространство имен для дашбордов Grafana

~

hubble.metrics.dashboards.labelValue

Значения метки для автоматического импорта дашбордов в Grafana

"1"

hubble.metrics.dashboards.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

hubble.metrics.dynamic.enabled

Включение динамического изменения конфигурации метрик без перезапуска агента Cilium

false

hubble.metrics.dynamic.config.configMapName

Имя ConfigMap, содержащего динамические настройки обработчиков метрик

"cilium-dynamic-metrics-config"

hubble.metrics.dynamic.config.createConfigMap

Автоматическое создание ConfigMap средствами Helm-чарта

true

hubble.metrics.dynamic.config.content

Конфигурация динамических экспортеров в формате YAML.
Пример конфигурации:

- name: dns
  contextOptions: []
  includeFilters: []
  excludeFilters: []

[]

hubble.socketPath

Путь к Unix Domain Socket для прослушивания сервисом Hubble

"/var/run/cilium/hubble.sock"

hubble.networkPolicyCorrelation.enabled

Включение корреляции сетевой политики потоков Hubble (заполнение полей egress_allowed_by, ingress_denied_by информацией о политике)

true

hubble.redact.enabled

Очистка конфиденциальной информации из трафика L7-уровня

false

hubble.redact.http.urlQuery

Удаление параметров запроса URL

false

hubble.redact.http.userInfo

Удаление учетных данных пользователей (например, паролей при Basic-аутентификации) из HTTP-запросов

true

hubble.redact.http.headers.allow

Список разрешенных HTTP-заголовков (все остальные заголовки будут удалены; нельзя использовать одновременно с deny).
Пример конфигурации:

  - traceparent
  - tracestate
  - Cache-Control

[]

hubble.redact.http.headers.deny

Список запрещенных HTTP-заголовков (соответствующие заголовки будут удалены; нельзя использовать одновременно с allow).
Пример конфигурации:

  - Authorization
  - Proxy-Authorization

[]

hubble.redact.kafka.apiKey

Удаление ключей API Kafka из собираемых потоков данных

true

hubble.listenAddress

Дополнительный сетевой адресас и порта для прослушивания сервисом Hubble (требуется ":4244" для интеграции с Hubble Relay)

":4244"

hubble.preferIpv6

Приоритет анонсирования IPv6-адресов вместо IPv4 при доступности обоих протоколов

false

hubble.skipUnknownCGroupIDs

Пропуск сетевых событий Hubble, имеющих неизвестные идентификаторы cgroup

~

hubble.peerService.targetPort

Целевой порт для службы Hubble Peer (значение должно соответствовать порту из hubble.listenAddress)

4244

hubble.peerService.clusterDomain

Домен локального кластера для отправки запросов к службе Hubble Peer

"cluster.local"

hubble.tls.enabled

Включение взаимного TLS (mTLS) для адреса прослушивания Hubble (listenAddress). Установка значения в false не допускается, так как API Hubble предоставляет доступ к потенциально конфиденциальным метаданным потоков сети и доступен в сети хоста

true

hubble.tls.auto.enabled

Автоматическая генерация CA и TLS-сертификатов для включения mTLS между Hubble и Hubble Relay

true

hubble.tls.auto.method

Выбор метода автоматической генерации сертификатов.
Возможные значения: helm, cronJob, certmanager

"helm"

hubble.tls.auto.certValidityDuration

Настройка срока действия сгенерированных TLS-сертификатов (в днях)

365

hubble.tls.auto.schedule

Настройка расписания для планового обновления сертификатов (применяется только при method: "cronJob")

"0 0 1 */4 *"

hubble.tls.auto.certManagerIssuerRef

Издатель в cert-manager (применяется только при method: "certmanager").
Пример конфигурации:

group: cert-manager.io
kind: ClusterIssuer
name: ca-issuer

{}

hubble.tls.server.existingSecret

Имя Secret, содержащего сертификат и ключ для сервера Hubble

""

hubble.tls.server.cert

Закодированный в base64 PEM-сертификат сервера Hubble (рекомендуется использовать existingSecret)

""

hubble.tls.server.key

Закодированный в base64 PEM-ключ сервера Hubble (рекомендуется использовать existingSecret)

""

hubble.tls.server.extraDnsNames

Дополнительные DNS-имена, добавляемые в сертификат при автоматической генерации

[]

hubble.tls.server.extraIpAddresses

Дополнительные IP-адреса, добавляемые в сертификат при автоматической генерации

[]

hubble.relay.enabled

Включение Hubble Relay (требуется hubble.enabled=true)

false

hubble.relay.rollOutPods

Автоматическое обновление pod Hubble Relay при обновлении ConfigMap

true

hubble.relay.image.override

Переопределение образа контейнера hubble-relay

~

hubble.relay.image.repository

Путь к репозиторию контейнерного образа hubble-relay

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-cilium/hubble-relay'

hubble.relay.image.tag

Тег образа контейнера hubble-relay

"v1.18.12"

hubble.relay.image.digest

Дайджест (SHA-хеш) образа контейнера hubble-relay

""

hubble.relay.image.useDigest

Использование дайджеста образа вместо тега

false

hubble.relay.image.pullPolicy

Политика загрузки образа

"IfNotPresent"

hubble.relay.resources.limits.cpu

Ограничения ресурсов CPU для pod hubble-relay

"1000m"

hubble.relay.resources.limits.memory

Ограничения ресурсов памяти для pod hubble-relay

"1024M"

hubble.relay.resources.requests.cpu

Запрашиваемые ресурсы CPU для pod hubble-relay

"100m"

hubble.relay.resources.requests.memory

Запрашиваемые ресурсы памяти для pod hubble-relay

"64Mi"

hubble.relay.replicas

Количество реплик pod

1

hubble.relay.affinity

Настройки правила привязки (affinity и anti-affinity) pod к узлам

 
podAffinity:
  requiredDuringSchedulingIgnoredDuringExecution:
    - topologyKey: kubernetes.io/hostname
      labelSelector:
        matchLabels:
          k8s-app: cilium

hubble.relay.topologySpreadConstraints

Ограничения топологии для равномерного распределения pod по зонам доступности и узлам.
Пример конфигурации:

- maxSkew: 1
  topologyKey: topology.kubernetes.io/zone
  whenUnsatisfiable: DoNotSchedule

[]

hubble.relay.nodeSelector

Селектор узлов для планирования pod

 
kubernetes.io/os: linux

hubble.relay.tolerations

Toleration для размещения pod на узлах с ограничениями (taints)

[]

hubble.relay.extraEnv

Дополнительные переменные окружения hubble-relay

[]

hubble.relay.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

hubble.relay.podAnnotations

Аннотации, добавляемые к pod hubble-relay

{}

hubble.relay.podLabels

Метки, добавляемые к pod hubble-relay

{}

hubble.relay.podDisruptionBudget.enabled

Включение PodDisruptionBudget

false

hubble.relay.podDisruptionBudget.minAvailable

Количество или процент pod, которые должны оставаться доступными

null

hubble.relay.podDisruptionBudget.maxUnavailable

Количество или процент pod, которые могут быть недоступны

1

hubble.relay.podDisruptionBudget.unhealthyPodEvictionPolicy

Политика высвобождения (eviction) для неработоспособных pod, защищенных PodDisruptionBudget

null

hubble.relay.priorityClassName

Имя PriorityClass для pod

""

hubble.relay.terminationGracePeriodSeconds

Время, отведенное на корректное завершение работы pod

1

hubble.relay.updateStrategy.type

Тип стратегии обновления hubble-relay

"RollingUpdate"

hubble.relay.updateStrategy.rollingUpdate.maxUnavailable

Максимальное количество недоступных pod во время обновления

1

hubble.relay.extraVolumes

Дополнительные Volume hubble-relay

[]

hubble.relay.extraVolumeMounts

Список дополнительных точек монтирования томов (VolumeMounts) в контейнере

[]

hubble.relay.podSecurityContext.fsGroup

Идентификатор группы файловой системы для pod, назначаемый владельцем всех файлов и каталогов на подключенных томах

65532

hubble.relay.podSecurityContext.seccompProfile.type

Тип профиля Seccomp

"RuntimeDefault"

hubble.relay.securityContext.allowPrivilegeEscalation

Активация разрешения на эскалацию привилегий в контейнере

false

hubble.relay.securityContext.runAsNonRoot

Запуск контейнера от имени пользователя без административных полномочий

true

hubble.relay.securityContext.runAsUser

UID пользователя, от имени которого запускается контейнер

65532

hubble.relay.securityContext.runAsGroup

GID группы, от имени которой запускается контейнер

65532

hubble.relay.securityContext.seccompProfile.type

Тип профиля Seccomp

"RuntimeDefault"

hubble.relay.securityContext.capabilities.drop

Список capabilities для удаления

 
- ALL

hubble.relay.service.type

Тип Service, используемый для доступа к hubble-relay.
Возможные значения: ClusterIP, NodePort или LoadBalancer

"ClusterIP"

hubble.relay.service.nodePort

Внешний NodePort для сетевого доступа к Hubble Relay

31234

hubble.relay.listenHost

Хост для прослушивания. Пустая строка означает привязку ко всем интерфейсам

""

hubble.relay.listenPort

Порт для прослушивания

"4245"

hubble.relay.tls.client.existingSecret

Имя Secret, содержащего сертификат и ключ для клиента hubble-relay

""

hubble.relay.tls.client.cert

Закодированный в base64 PEM-сертификат клиента Hubble Relay (рекомендуется использовать existingSecret)

""

hubble.relay.tls.client.key

Закодированный в base64 PEM-ключ клиента Hubble Relay (рекомендуется использовать existingSecret)

""

hubble.relay.tls.server.enabled

Включение шифрования TLS для сервера Hubble Relay (для защиты подключений клиентов к API Relay)

false

hubble.relay.tls.server.mtls

Включение взаимной TLS-аутентификации (mTLS) между сервером Hubble Relay и его клиентами

false

hubble.relay.tls.server.existingSecret

Имя Secret, содержащего сертификат и ключ для сервера Hubble Relay

""

hubble.relay.tls.server.cert

Закодированный в base64 PEM-сертификата сервера Hubble Relay (рекомендуется использовать existingSecret)

""

hubble.relay.tls.server.key

Закодированный в base64 PEM-ключ сервера Hubble Relay (рекомендуется использовать existingSecret)

""

hubble.relay.tls.server.extraDnsNames

Список дополнительных DNS-имен для автоматической генерации TLS-сертификата сервера Hubble Relay

[]

hubble.relay.tls.server.extraIpAddresses

Список дополнительных IP-адресов для автоматической генерации TLS-сертификата сервера Hubble Relay

[]

hubble.relay.tls.server.relayName

DNS-имя, используемое бэкендом для подключения к Hubble Relay

"ui.hubble-relay.cilium.io"

hubble.relay.retryTimeout

Длительность повторной попытки подключения к локальному экземпляру Hubble при сбое (например, "30s")

~

hubble.relay.sortBufferLenMax

Максимальное число потоков в буфере сортировки перед их отправкой клиенту

~

hubble.relay.sortBufferDrainTimeout

Настройка тайм-аута принудительного сброса незаполненного буфера сортировки потоков (для запросов в режиме follow)

~

hubble.relay.prometheus.enabled

Включение экспорта метрик Prometheus для Hubble Relay на эндпоинте /metrics

true

hubble.relay.prometheus.port

Порт для метрик Prometheus hubble-relay

9966

hubble.relay.prometheus.serviceMonitor.enabled

Создание ресурса ServiceMonitor для интеграции Hubble Relay с Prometheus Operator

true

hubble.relay.prometheus.serviceMonitor.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

hubble.relay.prometheus.serviceMonitor.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

hubble.relay.prometheus.serviceMonitor.interval

Интервал сбора метрик

"10s"

hubble.relay.prometheus.serviceMonitor.scrapeTimeout

Настройка тайм-аута сбора метрик

~

hubble.relay.prometheus.serviceMonitor.relabelings

Правила фильтрации и преобразования меток, применяемые к целям сбора до начала сбора метрик

~

hubble.relay.prometheus.serviceMonitor.metricRelabelings

Правила фильтрации и преобразования меток, применяемые к собранным метрикам

~

hubble.relay.gops.enabled

Включение агента диагностики GOPS

true

hubble.relay.gops.port

Настройка порта прослушивания агента GOPS для Hubble Relay

9893

hubble.relay.pprof.enabled

Включение профайлера pprof для анализа производительности

false

hubble.relay.pprof.address

Настройка сетевого адреса прослушивания для профайлера pprof

"localhost"

hubble.relay.pprof.port

Настройка порта прослушивания pprof для hubble-relay

6062

hubble.relay.logOptions.format

Формат вывода логов для компонента hubble-relay

~

hubble.relay.logOptions.level

Уровень детализации логов для Hubble Relay

~

hubble.ui.enabled

Включение Hubble UI

false

hubble.ui.standalone.enabled

При значении true разрешает установку только Hubble UI, без проверки зависимостей

false

hubble.ui.standalone.tls.certsVolume

При развертывании Hubble UI в автономном режиме с включенным TLS для Hubble Relay, необходимо предоставить Volume для монтирования клиентских сертификатов.
Пример конфигурации:

   projected:
     defaultMode: 0400
     sources:
     - secret:
         name: hubble-ui-client-certs
         items:
         - key: tls.crt
           path: client.crt
         - key: tls.key
           path: client.key
         - key: ca.crt
           path: hubble-relay-ca.crt

{}

hubble.ui.rollOutPods

Автоматическое обновление pod Hubble UI при обновлении ConfigMap

true

hubble.ui.consoleLink.enabled

Включение consoleLink

true

hubble.ui.tls.client.existingSecret

Имя Secret, содержащего клиентский сертификат и ключ для Hubble UI

""

hubble.ui.tls.client.cert

Закодированный в base64 PEM-сертификат сервера Hubble UI (рекомендуется использовать existingSecret)

""

hubble.ui.tls.client.key

Закодированный в base64 PEM-ключ сервера Hubble UI (рекомендуется использовать existingSecret)

""

hubble.ui.backend.image.override

Переопределение образа контейнера бэкенда Hubble UI

~

hubble.ui.backend.image.repository

Путь к репозиторию контейнерного образа бэкенда Hubble UI

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-hubble-ui/hubble-ui-backend'

hubble.ui.backend.image.tag

Тег образа контейнера бэкенда Hubble UI

"v0.13.5"

hubble.ui.backend.image.digest

Дайджест (SHA-хеш) образа контейнера бэкенда Hubble UI

""

hubble.ui.backend.image.useDigest

Использование дайджеста образа вместо тега

false

hubble.ui.backend.image.pullPolicy

Политика загрузки образа

"IfNotPresent"

hubble.ui.backend.securityContext.runAsGroup

GID группы, от имени которой запускается контейнер бэкенда

10001

hubble.ui.backend.securityContext.runAsNonRoot

Запуск контейнера от имени пользователя без административных полномочий

true

hubble.ui.backend.securityContext.runAsUser

UID пользователя, от имени которого запускается контейнер бэкенда

10001

hubble.ui.backend.securityContext.allowPrivilegeEscalation

Активация разрешения на эскалацию привилегий в контейнере

false

hubble.ui.backend.securityContext.readOnlyRootFilesystem

Монтирование корневой файловой системы в режиме «только для чтения»

true

hubble.ui.backend.securityContext.capabilities.drop

Список capabilities для удаления

 
- ALL

hubble.ui.backend.extraEnv

Дополнительные переменные окружения бэкенда Hubble UI

[]

hubble.ui.backend.extraVolumes

Дополнительные Volume бэкенда Hubble UI

[]

hubble.ui.backend.extraVolumeMounts

Список дополнительных точек монтирования томов (VolumeMounts) в контейнере

[]

hubble.ui.backend.livenessProbe.enabled

Включение проверки работоспособности бэкенда Hubble UI

false

hubble.ui.backend.readinessProbe.enabled

Включение проверки готовности бэкенда Hubble UI

false

hubble.ui.backend.resources.limits.cpu

Ограничения ресурсов CPU для контейнера Deployment бэкенда Hubble UI

"1000m"

hubble.ui.backend.resources.limits.memory

Ограничения ресурсов памяти для контейнера Deployment бэкенда Hubble UI

"1024M"

hubble.ui.backend.resources.requests.cpu

Запрашиваемые ресурсы CPU для контейнера Deployment бэкенда Hubble UI

"100m"

hubble.ui.backend.resources.requests.memory

Запрашиваемые ресурсы памяти для контейнера Deployment бэкенда Hubble UI

"64Mi"

hubble.ui.frontend.image.override

Переопределение образа контейнера фронтенда Hubble UI

~

hubble.ui.frontend.image.repository

Путь к репозиторию контейнерного образа фронтенда Hubble UI

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-hubble-ui/hubble-ui'

hubble.ui.frontend.image.tag

Тег образа контейнера фронтенда Hubble UI

"v0.13.5"

hubble.ui.frontend.image.digest

Дайджест (SHA-хеш) образа для доверенной верификации контейнера фронтенда Hubble UI

""

hubble.ui.frontend.image.useDigest

Использование дайджеста образа вместо тега

false

hubble.ui.frontend.image.pullPolicy

Политика загрузки образа

"IfNotPresent"

hubble.ui.frontend.securityContext.capabilities.add

Список добавляемых мандатов (capabilities) в контейнер фронтенда Hubble UI

 
- NET_BIND_SERVICE

hubble.ui.frontend.securityContext.capabilities.drop

Список capabilities для удаления

 
- ALL

hubble.ui.frontend.securityContext.runAsUser

UID пользователя, от имени которого запускается контейнер фронтенда Hubble UI

10001

hubble.ui.frontend.securityContext.runAsNonRoot

Запуск контейнера от имени пользователя без административных полномочий

true

hubble.ui.frontend.securityContext.readOnlyRootFilesystem

Монтирование корневой файловой системы в режиме «только для чтения»

false

hubble.ui.frontend.securityContext.allowPrivilegeEscalation

Активация разрешения на эскалацию привилегий в контейнере

false

hubble.ui.frontend.securityContext.seccompProfile.type

Тип профиля Seccomp

"RuntimeDefault"

hubble.ui.frontend.extraEnv

Дополнительные переменные окружения фронтенда Hubble UI

[]

hubble.ui.frontend.extraVolumes

Дополнительные Volume фронтенда Hubble UI

[]

hubble.ui.frontend.extraVolumeMounts

Список дополнительных точек монтирования томов (VolumeMounts) в контейнере

[]

hubble.ui.frontend.resources.limits.cpu

Ограничения ресурсов CPU для контейнера Deployment фронтенда Hubble UI

"1000m"

hubble.ui.frontend.resources.limits.memory

Ограничения ресурсов памяти для контейнера Deployment фронтенда Hubble UI

"1024M"

hubble.ui.frontend.resources.requests.cpu

Запрашиваемые ресурсы CPU для контейнера Deployment фронтенда Hubble UI

"100m"

hubble.ui.frontend.resources.requests.memory

Запрос памяти для контейнера фронтенда Hubble UI

"64Mi"

hubble.ui.frontend.server.ipv6.enabled

Включение поддержки IPv6

true

hubble.ui.replicas

Количество реплик pod

1

hubble.ui.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

hubble.ui.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

hubble.ui.podAnnotations

Аннотации, добавляемые к pod Hubble UI

{}

hubble.ui.podLabels

Метки, добавляемые к pod Hubble UI

{}

hubble.ui.podDisruptionBudget.enabled

Включение PodDisruptionBudget

false

hubble.ui.podDisruptionBudget.minAvailable

Количество или процент pod, которые должны оставаться доступными

null

hubble.ui.podDisruptionBudget.maxUnavailable

Количество или процент pod, которые могут быть недоступны

1

hubble.ui.podDisruptionBudget.unhealthyPodEvictionPolicy

Политика высвобождения (eviction) для неработоспособных pod, защищенных PodDisruptionBudget

null

hubble.ui.affinity

Настройки правила привязки (affinity и anti-affinity) pod к узлам

{}

hubble.ui.topologySpreadConstraints

Ограничения топологии для равномерного распределения pod по зонам доступности и узлам.
Пример конфигурации:

- maxSkew: 1
  topologyKey: topology.kubernetes.io/zone
  whenUnsatisfiable: DoNotSchedule

[]

hubble.ui.nodeSelector

Селектор узлов для планирования pod

 
kubernetes.io/os: linux

hubble.ui.tolerations

Toleration для размещения pod на узлах с ограничениями (taints)

[]

hubble.ui.priorityClassName

Имя PriorityClass для pod

""

hubble.ui.updateStrategy.type

Тип стратегии обновления Hubble UI

"RollingUpdate"

hubble.ui.updateStrategy.rollingUpdate.maxUnavailable

Максимальное количество недоступных pod во время обновления

1

hubble.ui.securityContext.runAsUser

UID пользователя, от имени которого запускается контейнер

10001

hubble.ui.securityContext.runAsGroup

GID группы, от имени которой запускается контейнер

10001

hubble.ui.SecurityContext.fsGroup

Идентификатор группы файловой системы для pod, назначаемый владельцем всех файлов и каталогов на подключенных томах

1001

hubble.ui.service.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

hubble.ui.service.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

hubble.ui.service.type

Тип Service, используемый для доступа к Hubble UI.
Возможные значения: ClusterIP, NodePort

"ClusterIP"

hubble.ui.service.nodePort

Внешний NodePort для сетевого доступа к Hubble Relay

31235

hubble.ui.baseUrl

Базовый префикс URL для HTTP-запросов Hubble UI. Изменяется при размещении Ingress на подпути. Требует косую черту в конце (например, /service-map/).

"/"

hubble.ui.ingress.enabled

Включение Ingress для Hubble UI

true

hubble.ui.ingress.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

 
nginx.ingress.kubernetes.io/force-ssl-redirect: "true"
nginx.ingress.kubernetes.io/rewrite-target: /

hubble.ui.ingress.className

Класс Ingress для Hubble UI

"nginx"

hubble.ui.ingress.hosts

Список хостов для Ingress Hubble UI

 
- 'hubble.{{ include "ingress.domain" . }}'

hubble.ui.ingress.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

hubble.ui.ingress.tls

Конфигурация TLS/SSL (сертификаты и хосты) для Ingress Hubble UI

 
- secretName: ingress-tls
  hosts:
    - 'hubble.{{ include "ingress.domain" . }}'

hubble.export.static.enabled

Активация статического экспортера, привязанного к жизненному циклу агента Cilium

false

hubble.export.static.filePath

Путь к лог-файлу для статического экспортера событий

"/var/run/cilium/hubble/events.log"

hubble.export.static.fieldMask

Маска полей (список выводимых атрибутов) для статического экспортера.
Пример конфигурации:

- time
- source
- destination
- verdict

[]

hubble.export.static.allowList

Фильтры включения для событий статического экспортера.
Пример конфигурации:

- '{"verdict":["DROPPED","ERROR"]}'

[]

hubble.export.static.denyList

Фильтры исключения для событий статического экспортера.
Пример конфигурации:

- '{"source_pod":["kube-system/"]}'
- '{"destination_pod":["kube-system/"]}'

[]

hubble.export.static.fileMaxSizeMb

Максимальный размер файла лога в мегабайтах перед ротацией

10

hubble.export.static.fileMaxBackups

Максимальное количество сохраняемых архивных файлов ротации

5

hubble.export.static.fileCompress

Активация сжатия архивированных файлов ротации

false

hubble.export.dynamic.enabled

Активация динамических экспортеров с изменением конфигурации без перезапуска агента

false

hubble.export.dynamic.config.configMapName

Имя ConfigMap, содержащего динамические настройки для перенастройки экспортеров

"cilium-flowlog-config"

hubble.export.dynamic.config.createConfigMap

Автоматическое создание ConfigMap средствами Helm-чарта

true

hubble.export.dynamic.config.content

Конфигурация экспортеров в формате YAML.
Пример конфигурации:

   - name: "test002"
     filePath: "/var/log/network/flow-log/pa/test002.log"
     fieldMask: ["source.namespace", "source.pod_name", "destination.namespace", "destination.pod_name", "verdict"]
     includeFilters:
     - source_pod: ["default/"]
       event_type:
       - type: 1
     - destination_pod: ["frontend/nginx-975996d4c-7hhgt"]
     excludeFilters: []
     fileMaxSizeMb: 1
     fileMaxBackups: 10
     fileCompress: true
     end: "2023-10-09T23:59:59-07:00"

- name: all
  fieldMask: []
  includeFilters: []
  excludeFilters: []
  filePath: "/var/run/cilium/hubble/events.log"
  fileMaxSizeMb: 10
  fileMaxBackups: 5
  fileCompress: false

hubble.dropEventEmitter.enabled

Генерация v1.Event, связанных с pod, при обнаружении отбрасывания пакетов

false

hubble.dropEventEmitter.interval

Минимальный интервал времени между отправкой идентичных событий

"2m"

hubble.dropEventEmitter.reasons

Список причин отбрасывания трафика, для которых генерируются события

 
- auth_required
- policy_denied

identityAllocationMode — режим распределения идентификаторов безопасности#

Параметр

Описание

Значение по умолчанию

identityAllocationMode

Режим выделения идентификаторов безопасности Cilium.
Возможные значения: crd (в Kubernetes CRD), kvstore (в etcd), режимы doublewrite-* (для миграции бэкенда)

"crd"

identityChangeGracePeriod — период ожидания перед удалением идентификатора#

Параметр

Описание

Значение по умолчанию

identityChangeGracePeriod

Время задержки перед удалением старого идентификатора безопасности при изменении меток эндпоинта

""

installNoConntrackIptablesRules — установка правил iptables без conntrack#

Параметр

Описание

Значение по умолчанию

installNoConntrackIptablesRules

Установка правил iptables NOTRACK для отключения netfilter conntrack на всем трафике pod. Работает только в режимах прямой маршрутизации и Kube-Proxy Replacement (KPR). Несовместимо с облачными managed-кластерами или в конфигурациях chained CNI

false

ipam — управление IP-адресами#

Параметр

Описание

Значение по умолчанию

ipam.mode

Режим управления IP-адресами (IPAM) в кластере

"cluster-pool"

ipam.ciliumNodeUpdateRate

Максимальная частота обновления пользовательского ресурса CiliumNode

"15s"

ipam.multiPoolPreAllocation

Параметры предварительного выделения IP-адресов для IPAM в режиме Multi-Pool

""

ipam.installUplinkRoutesForDelegatedIPAM

Установка маршрутов Ingress/Egress через uplink-интерфейс хоста для pod при использовании стороннего делегированного IPAM-плагина

false

ipam.operator.clusterPoolIPv4PodCIDRList

Список IPv4 CIDR-диапазонов, из которых Cilium Operator выделяет подсети для конкретных узлов

["10.244.0.0/16"]

ipam.operator.clusterPoolIPv4MaskSize

Размер маски IPv4-подсети, выделяемой каждому отдельному узлу кластера

24

ipam.operator.clusterPoolIPv6PodCIDRList

Список IPv6 CIDR-диапазонов, из которых Cilium Operator выделяет подсети для конкретных узлов

["fd00::/104"]

ipam.operator.clusterPoolIPv6MaskSize

Размер маски IPv6 CIDR для делегирования отдельным узлам для IPAM

120

ipam.operator.autoCreateCiliumPodIPPools

Конфигурация пулов IP-адресов для автоматического создания в Multi-Pool режиме IPAM.
Пример конфигурации:

default:
  ipv4:
    cidrs:
      - 10.10.0.0/8
    maskSize: 24
other:
  ipv6:
    cidrs:
      - fd00:100::/80
    maskSize: 96

{}

ipam.operator.externalAPILimitBurstSize

Максимальное количество одновременных запросов к облачным API, которое cilium-operator может отправить при ограничении скорости обращения

~

ipam.operator.externalAPILimitQPS

Максимальное количество запросов в секунду к облачным API, определяющее скорость стабильного выделения IP-адресов в штатном режиме

~

defaultLBServiceIPAM — IPAM для служб балансировщика нагрузки по умолчанию#

Параметр

Описание

Значение по умолчанию

defaultLBServiceIPAM

Указывает IPAM-службы балансировщика нагрузки по умолчанию, когда не установлен класс балансировщика нагрузки.
Возможные значения: lbipam, nodeipam, none

"lbipam"

nodeIPAM — управление IP-адресами узлов#

Параметр

Описание

Значение по умолчанию

nodeIPAM.enabled

Настройка IPAM узлов

false

apiRateLimit — ограничение скорости API агента#

Параметр

Описание

Значение по умолчанию

apiRateLimit

Переопределение настроек ограничения скорости для вызовов к API агента Cilium

~

ipMasqAgent — агент маскирования IP#

Параметр

Описание

Значение по умолчанию

ipMasqAgent.enabled

Настройка маскирования IP на базе eBPF

false

ipv4 — поддержка IPv4#

Параметр

Описание

Значение по умолчанию

ipv4.enabled

Включение поддержки IPv4

true

ipv6 — поддержка IPv6#

Параметр

Описание

Значение по умолчанию

ipv6.enabled

Включение поддержки IPv6

false

k8s — параметры Kubernetes#

Параметр

Описание

Значение по умолчанию

k8s.requireIPv4PodCIDR

Включение ожидания предоставления диапазона PodCIDR Kubernetes через ресурс узла Kubernetes

false

k8s.requireIPv6PodCIDR

Включение ожидания предоставления диапазона PodCIDR IPv6 Kubernetes через ресурс узла Kubernetes

false

keepDeprecatedLabels — сохранение устаревших меток#

Параметр

Описание

Значение по умолчанию

keepDeprecatedLabels

Сохранение устаревших селекторов меток при развертывании DaemonSet Cilium

false

keepDeprecatedProbes — сохранение устаревших проверок#

Параметр

Описание

Значение по умолчанию

keepDeprecatedProbes

Сохранение устаревших определений проверок при развертывании DaemonSet Cilium

false

startupProbe — параметры проверки успешного запуска#

Параметр

Описание

Значение по умолчанию

startupProbe.failureThreshold

Количество неудачных попыток проверки запуска

300

startupProbe.periodSeconds

Интервал в секундах между проверками запуска

2

livenessProbe — параметры проверки работоспособности#

Параметр

Описание

Значение по умолчанию

livenessProbe.failureThreshold

Количество неудачных попыток до перевода контейнера в статус NotReady

10

livenessProbe.periodSeconds

Интервал в секундах между проверками работоспособности

30

livenessProbe.requireK8sConnectivity

Запрос подключения к Kubernetes как части проверки

true

readinessProbe — параметры проверки готовности#

Параметр

Описание

Значение по умолчанию

readinessProbe.failureThreshold

Количество неудачных попыток до перевода контейнера в статус NotReady

3

readinessProbe.periodSeconds

Интервал в секундах между проверками готовности

30

kubeProxyReplacement — замена kube-proxy#

Параметр

Описание

Значение по умолчанию

kubeProxyReplacement

Замена kube-proxy в пути прохождения трафика eBPF Cilium.
Возможные значения: "true", "false"

"false"

kubeProxyReplacementHealthzBindAddr — привязка сервера healthz#

Параметр

Описание

Значение по умолчанию

kubeProxyReplacementHealthzBindAddr

Адрес привязки сервера healthz для замены kube-proxy. Для включения установите значение '0.0.0.0:10256' для всех адресов ipv4 и '[::]:10256' для всех адресов ipv6

""

l2NeighDiscovery — параметры обнаружения соседей#

Параметр

Описание

Значение по умолчанию

l2NeighDiscovery.enabled

Включение автоматического ARP/NDP-обнаружения MAC-адресов соседних узлов кластера при прямой маршрутизации

false

l7Proxy — включение прокси на уровне L7#

Параметр

Описание

Значение по умолчанию

l7Proxy

Активация прокси и применение сетевых политик на уровне L7

true

localRedirectPolicy — локальная политика перенаправления#

Параметр

Описание

Значение по умолчанию

localRedirectPolicy

Активация локальной политики перенаправления (устарело, используйте localRedirectPolicies.enabled)

false

localRedirectPolicies — локальные политики перенаправления#

Параметр

Описание

Значение по умолчанию

localRedirectPolicies.enabled

Включение локальных политик перенаправления

false

localRedirectPolicies.addressMatcherCIDRs

Список CIDR для ограничения разрешенных IP-адресов в правилах Address Matcher локальных политик перенаправления

~

logSystemLoad — логирование нагрузки системы#

Параметр

Описание

Значение по умолчанию

logSystemLoad

Включение периодического логирования нагрузки системы

false

maglev — алгоритм консистентного хеширования Maglev#

Параметр

Описание

Значение по умолчанию

maglev

Включение алгоритма согласованного хеширования Maglev для стабильной балансировки трафика без разрыва TCP-сессий при масштабировании pod.
Пример конфигурации:

tableSize:
hashSeed:

{}

enableIPv4Masquerade — параметры маскарадинга трафика (IPv4)#

Параметр

Описание

Значение по умолчанию

enableIPv4Masquerade

Включение IPv4-маскарадинга (NAT) для исходящего трафика pod при пересечении границ локального узла

~

enableIPv6Masquerade — параметры маскарадинга трафика (IPv6)#

Параметр

Описание

Значение по умолчанию

enableIPv6Masquerade

Включение IPv6-маскарадинга (NAT) для исходящего трафика pod при пересечении границ локального узла

true

enableMasqueradeRouteSource — маскарадинг трафика на основе маршрутизации#

Параметр

Описание

Значение по умолчанию

enableMasqueradeRouteSource

Использование IP-адреса интерфейса источника маршрута при маскарадинге исходящего трафика pod

false

enableIPv4BIGTCP — BIG TCP для IPv4#

Параметр

Описание

Значение по умолчанию

enableIPv4BIGTCP

Включение IPv4 BIG TCP для увеличения лимитов GSO/GRO пакетов на узлах и pod

false

enableIPv6BIGTCP — BIG TCP для IPv6#

Параметр

Описание

Значение по умолчанию

enableIPv6BIGTCP

Включение IPv6 BIG TCP для увеличения лимитов GSO/GRO пакетов на узлах и pod

false

nat — параметры трансляции сетевых адресов#

Параметр

Описание

Значение по умолчанию

nat.mapStatsEntries

Число соединений карты SNAT top-k, отслеживаемых в statedb Cilium

32

nat.mapStatsInterval

Интервал между подсчетами карты SNAT для статистики

"30s"

egressGateway — шлюз исходящего трафика#

Параметр

Описание

Значение по умолчанию

egressGateway.enabled

Включение Egress Gateway для маршрутизации и SNAT-трансляции исходящего из кластера трафика pod

false

egressGateway.reconciliationTriggerInterval

Интервал времени между триггерами синхронизации состояний шлюзов Egress Gateway

"1s"

vtep — интеграция с VTEP#

Параметр

Описание

Значение по умолчанию

vtep.enabled

Активация интеграции с VXLAN Tunnel Endpoint (VTEP, Beta) для связывания pod с внешними устройствами

false

vtep.endpoint

Список IP-адресов удаленных VTEP-устройств через пробел (например, "1.1.1.1 1.1.2.1")

""

vtep.cidr

Список CIDR-сетей за VTEP-устройствами через пробел (например, "1.1.1.0/24 1.1.2.0/24")

""

vtep.mask

Сетевая маска, применяемая ко всем CIDR-сетям VTEP-устройств (например, "255.255.255.0")

""

vtep.mac

Список MAC-адресов VTEP-устройств через пробел (например, "00:11:22... 00:33:44...")

""

ipv4NativeRoutingCIDR — CIDR нативной маршрутизации IPv4#

Параметр

Описание

Значение по умолчанию

ipv4NativeRoutingCIDR

IPv4-диапазон для нативной маршрутизации без применения SNAT при передаче трафика в стек Linux

""

ipv6NativeRoutingCIDR — CIDR нативной маршрутизации IPv6#

Параметр

Описание

Значение по умолчанию

ipv6NativeRoutingCIDR

IPv6-диапазон для нативной маршрутизации без применения SNAT при передаче трафика в стек Linux

""

monitor — мониторинг сетевого трафика#

Параметр

Описание

Значение по умолчанию

monitor.enabled

Включение sidecar-контейнера cilium-monitor

false

loadBalancer — балансировщик нагрузки#

Параметр

Описание

Значение по умолчанию

loadBalancer.acceleration

Режим XDP-ускорения обработки сервисов.
Возможные значения: disabled, native, best-effort

"disabled"

loadBalancer.l7.backend

Балансировка нагрузки L7 через прокси Envoy.
Возможные значения: envoy (для активации) или disabled (для отключения аннотациями)

"disabled"

loadBalancer.l7.ports

Список портов Service, трафик с которых автоматически перенаправляется на L7-бэкенд балансировки

[]

loadBalancer.l7.algorithm

Алгоритм балансировки L7 по умолчанию переопределяемый аннотацией Service.
Возможные значения: round_robin, least_request, random

"round_robin"

nodePort — службы NodePort#

Параметр

Описание

Значение по умолчанию

nodePort.enabled

Активация встроенного механизма NodePort-балансировки в Cilium

false

nodePort.addresses

Список CIDR для выбора IP-адресов нативных сетевых интерфейсов, используемых для балансировки NodePort

~

nodePort.bindProtection

Запрет локальным приложениям хоста выполнять bind на порты NodePort-сервисов

true

nodePort.autoProtectPortRange

Добавление диапазона NodePort в ip_local_reserved_ports при обнаружении конфликта с временными портами

true

nodePort.enableHealthCheck

Включение встроенного сервера проверки состояния для NodePort-сервисов

true

nodePort.enableHealthCheckLoadBalancerIP

Включение доступа к NodePort-серверу проверки состояния по IP-адресу балансировщика нагрузки (требует enableHealthCheck: true)

false

policyEnforcementMode — режим принудительного применения политики#

Параметр

Описание

Значение по умолчанию

policyEnforcementMode

Режим применения сетевых политик агентом Cilium.
Возможные значения: default, always, never

"default"

policyCIDRMatchMode — режим соответствия CIDR политики#

Параметр

Описание

Значение по умолчанию

policyCIDRMatchMode

Перечень типов сущностей (например, "nodes"), которые разрешено выбирать с помощью CIDR-селекторов в политиках

~

pprof — профилирование производительности#

Параметр

Описание

Значение по умолчанию

pprof.enabled

Включение pprof для cilium-agent

false

pprof.address

Настройка адреса прослушивания pprof для cilium-agent

"localhost"

pprof.port

Настройка порта прослушивания pprof для cilium-agent

6060

prometheus — параметры интеграции с Prometheus и сбора метрик#

Параметр

Описание

Значение по умолчанию

prometheus.metricsService

Создание Service для сбора метрик

true

prometheus.enabled

Настройка метрик Prometheus на указанном порту в /metrics

true

prometheus.port

Порт для метрик Prometheus

9962

prometheus.serviceMonitor.enabled

Создание ресурсов ServiceMonitor. Требует доступности CRD Prometheus

true

prometheus.serviceMonitor.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

prometheus.serviceMonitor.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

prometheus.serviceMonitor.jobLabel

Настройка метки jobLabel для ServiceMonitor cilium-agent

""

prometheus.serviceMonitor.interval

Интервал сбора метрик

"10s"

prometheus.serviceMonitor.scrapeTimeout

Настройка тайм-аута сбора метрик

~

prometheus.serviceMonitor.relabelings

Правила фильтрации и преобразования меток, применяемые к целям сбора до начала сбора метрик

 
- sourceLabels:
    - __meta_kubernetes_pod_node_name
  targetLabel: node
  action: replace
  replacement: ${1}

prometheus.serviceMonitor.metricRelabelings

Правила фильтрации и преобразования меток, применяемые к собранным метрикам

~

prometheus.serviceMonitor.trustCRDsExist

Отключение валидации Helm-чартом наличия CRD monitoring.coreos.com/v1 перед развертыванием ServiceMonitor

true

prometheus.metrics

Список изменений метрик по умолчанию через пробел (префикс + для включения метрики, - для отключения)

~

prometheus.controllerGroupMetrics

Список подсистем (групп контроллеров) Cilium для сбора специфичных метрик мониторинга (поддерживаются "all" и "none")

 
- write-cni-file
- sync-host-ips
- sync-lb-maps-with-k8s-services

dashboards — настройка дашбордов Grafana#

Параметр

Описание

Значение по умолчанию

dashboards.enabled

Включение дашбордов Grafana для cilium-agent

false

dashboards.label

Метка для импорта дашбордов

"grafana_dashboard"

dashboards.namespace

Пространство имен дашбордов

~

dashboards.labelValue

Значение метки для импорта дашбордов

"1"

dashboards.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

envoy — Cilium Envoy Proxy в отдельном DaemonSet#

Параметр

Описание

Значение по умолчанию

envoy.enabled

Включение Envoy Proxy в отдельном DaemonSet

false

envoy.baseID

Установка флага --base-id для изоляции областей разделяемой памяти Envoy (диапазон значений от 0 до 4294967295)

0

envoy.log.format

Текстовый формат вывода логов Envoy (взаимоисключающий параметр с envoy.log.format_json)

"[%Y-%m-%d %T.%e][%t][%l][%n] [%g:%#] %v"

envoy.log.format_json

Формат вывода логов Envoy в структурированном виде JSON (взаимоисключающий параметр с envoy.log.format).
Пример конфигурации:

  date: "%Y-%m-%dT%T.%e"
  thread_id: "%t"
  source_line: "%s:%#"
  level: "%l"
  logger: "%n"
  message: "%j"

null

envoy.log.path

Путь к файлу логирования Envoy (по умолчанию вывод переправляется в /dev/stdout)

""

envoy.log.defaultLevel

Уровень логирования Envoy по умолчанию при отключенной глобальной отладке Cilium.
Возможные значения: trace, debug, info, warning, error, critical, off

~

envoy.log.accessLogBufferSize

Размер буфера логов доступа Envoy в байтах

4096

envoy.connectTimeoutSeconds

Тайм-аут установления входящих TCP-соединений в секундах

2

envoy.initialFetchTimeoutSeconds

Тайм-аут ожидания первоначального получения конфигурации по xDS-протоколу в секундах

30

envoy.maxConcurrentRetries

Максимальное количество параллельных повторных попыток запросов в кластерах Envoy

128

envoy.httpRetryCount

Максимальное число повторных попыток отправки для каждого отдельного HTTP-запроса

3

envoy.maxRequestsPerConnection

Ограничение максимального количества обрабатываемых HTTP-запросов в рамках одного постоянного соединения

0

envoy.maxConnectionDurationSeconds

Ограничение максимального времени жизни HTTP-соединения в секундах (значение 0 отключает лимит)

0

envoy.idleTimeoutDurationSeconds

Тайм-аут простоя неактивного HTTP-соединения Envoy с upstream-сервером в секундах

60

envoy.streamIdleTimeoutDurationSeconds

Максимальное время жизни HTTP-потока без сетевой активности со стороны upstream или downstream

300

envoy.xffNumTrustedHopsL7PolicyIngress

Количество доверенных прокси-узлов для обработки заголовка X-Forwarded-For на слушателях Ingress L7-политик

0

envoy.xffNumTrustedHopsL7PolicyEgress

Количество доверенных прокси-узлов для обработки заголовка X-Forwarded-For на слушателях Egress L7-политик

0

envoy.policyRestoreTimeoutDuration

Максимальное время ожидания восстановления сетевых политик для эндпоинта при перезапуске прокси

null

envoy.httpUpstreamLingerTimeout

Время задержки закрытия upstream-соединения в секундах (значение 0 закрывает через TCP RST, -1 — асинхронно в фоне)

null

envoy.image.override

Переопределение образа контейнера Envoy

~

envoy.image.repository

Путь к репозиторию контейнерного образа Envoy

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-cilium-proxy/cilium-envoy'

envoy.image.tag

Тег образа контейнера Envoy

"v1.36.9"

envoy.image.pullPolicy

Политика загрузки образа

"IfNotPresent"

envoy.image.digest

Дайджест (SHA-хеш) образа образа контейнера Envoy

""

envoy.image.useDigest

Использование дайджеста образа вместо тега

false

envoy.extraContainers

Дополнительные контейнеры, добавляемые в DaemonSet Cilium Envoy

[]

envoy.extraArgs

Дополнительные аргументы контейнера Envoy

[]

envoy.extraEnv

Дополнительные переменные окружения контейнера Envoy

[]

envoy.extraHostPathMounts

Дополнительные hostPath-монтирования Envoy.
Пример конфигурации:

- name: host-mnt-data
  mountPath: /host/mnt/data
  hostPath: /mnt/data
  hostPathType: Directory
  readOnly: true
  mountPropagation: HostToContainer

[]

envoy.extraVolumes

Дополнительные Volume Envoy

[]

envoy.extraVolumeMounts

Список дополнительных точек монтирования томов (VolumeMounts) в контейнере

[]

envoy.terminationGracePeriodSeconds

Время, отведенное на корректное завершение работы pod

30

envoy.healthPort

Порт агента Health API Envoy

9878

envoy.updateStrategy.type

Тип стратегии обновления Envoy

"RollingUpdate"

envoy.updateStrategy.rollingUpdate.maxUnavailable

Максимальное количество недоступных pod во время обновления

2

envoy.rollOutPods

Автоматическое обновления pod cilium-envoy при обновлении ConfigMap

false

envoy.bootstrapConfigMap

Имя пользовательской ConfigMap с конфигурацией Envoy. Должна содержать ключ bootstrap-config.json. При указании Envoy использует эту ConfigMap вместо конфигурации по умолчанию

~

envoy.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

envoy.podSecurityContext.appArmorProfile.type

Профиль AppArmor для pod cilium-envoy

"Unconfined"

envoy.podAnnotations

Аннотации, добавляемые к pod Envoy

{}

envoy.podLabels

Метки, добавляемые к pod Envoy

{}

envoy.resources

Запросы и ограничения ресурсов для контейнера.
Пример конфигурации:

limits:
  cpu: 4000m
  memory: 4Gi
requests:
  cpu: 100m
  memory: 512Mi

{}

envoy.startupProbe.enabled

Включение проверки запуска для Envoy

true

envoy.startupProbe.failureThreshold

Порог неудачных попыток проверки запуска

105

envoy.startupProbe.periodSeconds

Интервал между проверками запуска

2

envoy.livenessProbe.enabled

Включение проверки работоспособности для Envoy

true

envoy.livenessProbe.failureThreshold

Порог неудачных попыток проверки работоспособности

10

envoy.livenessProbe.periodSeconds

Интервал между проверками работоспособности

30

envoy.readinessProbe.failureThreshold

Порог неудачных попыток проверки готовности

3

envoy.readinessProbe.periodSeconds

Интервал между проверками готовности

30

envoy.securityContext.privileged

Запуск контейнера в привилегированном режиме

false

envoy.securityContext.seLinuxOptions.level

Уровень SELinux для контейнера

's0'

envoy.securityContext.seLinuxOptions.type

Тип SELinux для контейнера cilium-envoy. По умолчанию spc_t, так как режим privileged отключен. Доступно изменение на другой тип, доступный в системе

'spc_t'

envoy.securityContext.capabilities.envoy

Список добавляемых мандатов (capabilities) для контейнера

 
- NET_ADMIN
- SYS_ADMIN

envoy.securityContext.capabilities.keepCapNetBindService

Сохранение возможности NET_BIND_SERVICE для процесса Envoy

false

envoy.affinity

Настройки правила привязки (affinity и anti-affinity) pod к узлам

 
podAntiAffinity:
  requiredDuringSchedulingIgnoredDuringExecution:
    - topologyKey: kubernetes.io/hostname
      labelSelector:
        matchLabels:
          k8s-app: cilium-envoy
podAffinity:
  requiredDuringSchedulingIgnoredDuringExecution:
    - topologyKey: kubernetes.io/hostname
      labelSelector:
        matchLabels:
          k8s-app: cilium
nodeAffinity:
  requiredDuringSchedulingIgnoredDuringExecution:
    nodeSelectorTerms:
      - matchExpressions:
          - key: cilium.io/no-schedule
            operator: NotIn
            values:
              - "true"

envoy.nodeSelector

Селектор узлов для планирования pod

 
kubernetes.io/os: linux

envoy.tolerations

Toleration для размещения pod на узлах с ограничениями (taints).
Пример конфигурации:

- operator: Exists
  - key: "key"
    operator: "Equal|Exists"
    value: "value"
    effect: "NoSchedule|PreferNoSchedule|NoExecute"

- operator: Exists

envoy.priorityClassName

Имя PriorityClass для pod

~

envoy.dnsPolicy

Политика разрешения DNS для pod

~

envoy.debug.admin.enabled

Включение административного веб-интерфейса Envoy

false

envoy.debug.admin.port

Номер локального порта (loopback) для административного интерфейса Envoy

9901

envoy.prometheus.enabled

Активация экспортера Prometheus-мeтрик для Envoy

true

envoy.prometheus.serviceMonitor.enabled

Создание ресурсов ServiceMonitor. Настройка применяется как к cilium-envoy, так и к cilium-agent с включенным Envoy

true

envoy.prometheus.serviceMonitor.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

envoy.prometheus.serviceMonitor.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

envoy.prometheus.serviceMonitor.interval

Интервал сбора метрик

"10s"

envoy.prometheus.serviceMonitor.scrapeTimeout

Настройка тайм-аута сбора метрик

~

envoy.prometheus.serviceMonitor.relabelings

Правила фильтрации и преобразования меток, применяемые к целям сбора до начала сбора метрик

 
- sourceLabels:
    - __meta_kubernetes_pod_node_name
  targetLabel: node
  action: replace
  replacement: ${1}

envoy.prometheus.serviceMonitor.metricRelabelings

Правила фильтрации и преобразования меток, применяемые к собранным метрикам

~

envoy.prometheus.port

Порт для метрик Prometheus cilium-envoy

"9964"

nodeSelectorLabels — идентификация узлов через метки#

Параметр

Описание

Значение по умолчанию

nodeSelectorLabels

Включение использования идентификации на основе меток узлов

false

resourceQuotas — квоты ресурсов#

Параметр

Описание

Значение по умолчанию

resourceQuotas.enabled

Включение квот ресурсов для классов приоритета, используемых в кластере

false

resourceQuotas.cilium.hard.pods

Жесткий лимит pod для Cilium

"10k"

resourceQuotas.operator.hard.pods

Жесткий лимит pod для оператора

"15"

secretsNamespaceAnnotations — аннотации для пространств имен секретов#

Параметр

Описание

Значение по умолчанию

secretsNamespaceAnnotations

Аннотации, добавляемые ко всем пространствам имен cilium-secret

{}

sleepAfterInit — режим ожидания вместо запуска#

Параметр

Описание

Значение по умолчанию

sleepAfterInit

Не запускать агент Cilium при запуске с режимом clean.

false

svcSourceRangeCheck — валидация разрешенных CIDR-источников балансировщика нагрузки#

Параметр

Описание

Значение по умолчанию

svcSourceRangeCheck

Включение валидации диапазонов IP-адресов источников (loadBalancerSourceRanges) для Service

true

synchronizeK8sNodes — синхронизация узлов Kubernetes#

Параметр

Описание

Значение по умолчанию

synchronizeK8sNodes

Синхронизация состояний узлов Kubernetes в kvstore и запуск сборщика мусора (GC) для сетевых политик CNP

true

tls — параметры шифрования TLS#

Параметр

Описание

Значение по умолчанию

tls.secretsBackend

Режим загрузки TLS-секретов для политик CNP с инспекцией трафика (устарело, используйте tls.readSecretsOnlyFromSecretsNamespace)

"k8s"

tls.readSecretsOnlyFromSecretsNamespace

Ограничение области поиска TLS-секретов для политик CNP указанным пространством имен (при false агент получает доступ на чтение всех секретов в кластере)

false

tls.secretsNamespace.create

Создание пространства имен секретов для Secret TLS Interception

false

tls.secretsNamespace.name

Имя пространства имен Secret TLS Interception

"cilium-secrets"

tls.secretSync.enabled

Активация механизма синхронизации Secret для TLS Interception силами Cilium Operator

false

tls.ca.cert

Пользовательский сертификат корневого удостоверяющего центра (CA) для автоматической генерации внутренних TLS-сертификатов Cilium

""

tls.ca.key

Закрытый ключ корневого удостоверяющего центра (CA) для автоматической генерации внутренних TLS-сертификатов Cilium

""

tls.ca.certValidityDuration

Срок действия автоматически генерируемого корневого CA-сертификата в днях

1095

tls.caBundle.enabled

Активация использования доверенного пакета корневых сертификатов (CA Bundle)

false

tls.caBundle.name

Имя ConfigMap, содержащего пакет доверия CA

"cilium-root-ca.crt"

tls.caBundle.key

Имя ключа ConfigMap, содержащий пакет доверия CA

"ca.crt"

tls.caBundle.useSecret

Использование Secret вместо ConfigMap

false

tunnelProtocol — протокол туннелирования#

Параметр

Описание

Значение по умолчанию

tunnelProtocol

Протокол инкапсуляции трафика для режимов туннелирования и ad-hoc-туннелей.
Возможные значения: vxlan, geneve или "" для отключения

""

underlayProtocol — протокол IP-подсети#

Параметр

Описание

Значение по умолчанию

underlayProtocol

Семейство IP для подсети.
Возможные значения: ipv4, ipv6

""

routingMode — режим маршрутизации#

Параметр

Описание

Значение по умолчанию

routingMode

Включение режима native-routing или режима туннелирования.
Возможные значения: "", native, tunnel

""

tunnelPort — порт туннелей VXLAN/Geneve#

Параметр

Описание

Значение по умолчанию

tunnelPort

Пользовательский UDP-порт для оверлейных туннелей VXLAN и Geneve (значение 0 активирует порты по умолчанию: 8472 для VXLAN, 6081 для Geneve)

0

tunnelSourcePortRange — диапазон портов источника туннелей#

Параметр

Описание

Значение по умолчанию

tunnelSourcePortRange

Диапазон портов источника для туннелей VXLAN и Geneve (значение "0-0" делегирует выбор диапазона ядру Linux)

"0-0"

serviceNoBackendResponse — ответ при отсутствии бэкендов у службы#

Параметр

Описание

Значение по умолчанию

serviceNoBackendResponse

Настройка ответа на трафик для службы без бэкендов.
Возможные значения: reject, drop

"reject"

MTU — переопределение MTU для виртуальных интерфейсов#

Параметр

Описание

Значение по умолчанию

MTU

Пользовательский размер MTU для виртуальных интерфейсов Cilium (cilium_net, cilium_host, cilium_vxlan, lxc_health), переопределяющий автообнаружение. Не влияет на физические интерфейсы хоста

0

disableEndpointCRD — отключение CRD CiliumEndpoint#

Параметр

Описание

Значение по умолчанию

disableEndpointCRD

Отключение использования CRD CiliumEndpoint

false

wellKnownIdentities — поддержка предопределенных идентификаторов безопасности#

Параметр

Описание

Значение по умолчанию

wellKnownIdentities.enabled

Включение использования предопределенных идентификаторов безопасности для ускорения обработки трафика базовых Service

false

etcd — интеграция с etcd#

Параметр

Описание

Значение по умолчанию

etcd.enabled

Включение режима etcd

false

etcd.endpoints

Список конечных точек etcd

 
- <Endpoins>

etcd.ssl

Включение использования TLS/SSL для подключения к etcd

false

operator — оператор Cilium#

Параметр

Описание

Значение по умолчанию

operator.enabled

Включение компонента cilium-operator

true

operator.rollOutPods

Автоматическое обновление pod cilium-operator при обновлении ConfigMap

true

operator.image.override

Переопределение образа контейнера cilium-operator

~

operator.image.repository

Путь к репозиторию контейнерного образа cilium-operator

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-cilium/operator'

operator.image.tag

Тег образа контейнера cilium-operator

"v1.18.12"

operator.image.genericDigest

Дайджест (SHA-хеш) образа для доверенной верификации образа cilium-operator Generic

""

operator.image.azureDigest

Дайджест (SHA-хеш) cilium-operator Azure

""

operator.image.awsDigest

Дайджест (SHA-хеш) cilium-operator AWS

""

operator.image.alibabacloudDigest

Дайджест (SHA-хеш) cilium-operator Alibaba Cloud

""

operator.image.useDigest

Использование дайджеста образа вместо тега

false

operator.image.pullPolicy

Политика загрузки образа

"IfNotPresent"

operator.image.suffix

Суффикс имени образа

""

operator.replicas

Количество реплик pod

2

operator.priorityClassName

Имя PriorityClass для pod

""

operator.dnsPolicy

Политика разрешения DNS для pod

""

operator.updateStrategy.type

Тип стратегии обновления cilium-operator

"RollingUpdate"

operator.updateStrategy.rollingUpdate.maxSurge

Максимальное количество pod или значение в процентах во время обновления

"25%"

operator.updateStrategy.rollingUpdate.maxUnavailable

Максимальное количество недоступных pod во время обновления

"50%"

operator.affinity

Настройки правила привязки (affinity и anti-affinity) pod к узлам

 
podAntiAffinity:
  requiredDuringSchedulingIgnoredDuringExecution:
    - topologyKey: kubernetes.io/hostname
      labelSelector:
        matchLabels:
          io.cilium/app: operator

operator.topologySpreadConstraints

Ограничения топологии для равномерного распределения pod по зонам доступности и узлам.
Пример конфигурации:

- maxSkew: 1
  topologyKey: topology.kubernetes.io/zone
  whenUnsatisfiable: DoNotSchedule

[]

operator.nodeSelector

Селектор узлов для планирования pod

 
kubernetes.io/os: linux

operator.tolerations

Toleration для размещения pod на узлах с ограничениями (taints)

 
- key: "node-role.kubernetes.io/control-plane"
  operator: Exists
- key: "node-role.kubernetes.io/master"
  operator: Exists
- key: "node.kubernetes.io/not-ready"
  operator: Exists
- key: "node.cloudprovider.kubernetes.io/uninitialized"
  operator: Exists

operator.extraArgs

Дополнительные аргументы контейнера cilium-operator

[]

operator.extraEnv

Дополнительные переменные окружения cilium-operator

[]

operator.extraHostPathMounts

Дополнительные hostPath-монтирования cilium-operator.
Пример конфигурации:

- name: host-mnt-data
  mountPath: /host/mnt/data
  hostPath: /mnt/data
  hostPathType: Directory
  readOnly: true
  mountPropagation: HostToContainer

[]

operator.extraVolumes

Дополнительные Volume cilium-operator

[]

operator.extraVolumeMounts

Список дополнительных точек монтирования томов (VolumeMounts) в контейнере

[]

operator.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

operator.hostNetwork

Настройка HostNetwork

true

operator.podSecurityContext.seccompProfile.type

Тип профиля Seccomp

"RuntimeDefault"

operator.podAnnotations

Аннотации, добавляемые к pod cilium-operator

{}

operator.podLabels

Метки, добавляемые к pod cilium-operator

{}

operator.podDisruptionBudget.enabled

Включение PodDisruptionBudget

false

operator.podDisruptionBudget.minAvailable

Количество или процент pod, которые должны оставаться доступными

null

operator.podDisruptionBudget.maxUnavailable

Максимальное количество или процент pod, которые могут быть доступными

1

operator.podDisruptionBudget.unhealthyPodEvictionPolicy

Политика высвобождения (eviction) для неработоспособных pod, защищенных PodDisruptionBudget

null

operator.resources.limits.cpu

Ограничения ресурсов CPU для cilium-operator

"1000m"

operator.resources.limits.memory

Ограничения ресурсов памяти для для cilium-operator

"1Gi"

operator.resources.requests.cpu

Запрашиваемые ресурсы CPU для cilium-operator

"100m"

operator.resources.requests.memory

Запрос памяти для cilium-operator

"128Mi"

operator.securityContext.capabilities.drop

Список capabilities для удаления

 
- ALL

operator.securityContext.allowPrivilegeEscalation

Активация разрешения на эскалацию привилегий в контейнере

false

operator.endpointGCInterval

Интервал запуска сборщика мусора для удаления неиспользуемых ресурсов эндпоинта

"5m0s"

operator.nodeGCInterval

Интервал запуска сборщика мусора для удаления неактивных узлов Cilium из kvstore

"5m0s"

operator.identityGCInterval

Интервал запуска сборщика мусора для очистки неиспользуемых идентификаторов безопасности Cilium

"15m0s"

operator.identityHeartbeatTimeout

Тайм-аут ожидания heartbeat для подтверждения валидности идентификатора безопасности

"30m0s"

operator.pprof.enabled

Включение pprof для cilium-operator

false

operator.pprof.address

Настройка адреса прослушивания pprof для cilium-operator

"localhost"

operator.pprof.port

Настройка порта прослушивания pprof для cilium-operator

6061

operator.prometheus.metricsService

Включение Service метрик Prometheus

true

operator.prometheus.enabled

Включение метрик Prometheus для cilium-operator на настроенном порту в /metrics

true

operator.prometheus.port

Порт для метрик Prometheus cilium-operator

9963

operator.prometheus.serviceMonitor.enabled

Создание ресурсов ServiceMonitor. Требует доступности CRD Prometheus

true

operator.prometheus.serviceMonitor.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

operator.prometheus.serviceMonitor.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

operator.prometheus.serviceMonitor.jobLabel

Настройка метки jobLabel для ServiceMonitor cilium-operator

""

operator.prometheus.serviceMonitor.interval

Интервал сбора метрик

"10s"

operator.prometheus.serviceMonitor.scrapeTimeout

Настройка тайм-аута сбора метрик

~

operator.prometheus.serviceMonitor.relabelings

Правила фильтрации и преобразования меток, применяемые к целям сбора до начала сбора метрик

~

operator.prometheus.serviceMonitor.metricRelabelings

Правила фильтрации и преобразования меток, применяемые к собранным метрикам

~

operator.dashboards.enabled

Включение дашбордов Grafana для cilium-operator

false

operator.dashboards.label

Метка для импорта дашбордов

"grafana_dashboard"

operator.dashboards.namespace

Пространство имен для дашбордов

~

operator.dashboards.labelValue

Значение метки для импорта дашбордов

"1"

operator.dashboards.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

operator.skipCRDCreation

Пропуск создания CRD для cilium-operator

false

operator.removeNodeTaints

Автоматическое снятие ограничений с узлов после успешного запуска на них pod Cilium

true

operator.setNodeTaints

Автоматическое наложение ограничений на узлы, где запуск агента Cilium запланирован, но еще не завершен. Это предотвращает планирование pod на узлах, где Cilium не является провайдером CNI по умолчанию

~

operator.setNodeNetworkStatus

Установка статуса узла NetworkUnavailable в значение false с указанием причины CiliumIsUp при успешном запуске агента

true

operator.unmanagedPodWatcher.restart

Перезапуск любых pod, которые не управляются Cilium

true

operator.unmanagedPodWatcher.intervalSeconds

Интервал в секундах для проверки pod, которые не управляются Cilium

15

nodeinit — DaemonSet инициализации узлов кластера#

Параметр

Описание

Значение по умолчанию

nodeinit.enabled

Включение DaemonSet инициализации узлов

false

nodeinit.image.override

Переопределение образа контейнера nodeinit

~

nodeinit.image.repository

Путь к репозиторию контейнерного образа nodeinit

"quay.io/cilium/startup-script"

nodeinit.image.tag

Тег образа контейнера nodeinit

"1755531540-60ee83e"

nodeinit.image.digest

Дайджест (SHA-хеш) образа контейнера nodeinit

"sha256:<hash>"

nodeinit.image.useDigest

Использование дайджеста образа вместо тега

true

nodeinit.image.pullPolicy

Политика загрузки образа

"IfNotPresent"

nodeinit.priorityClassName

Имя PriorityClass для pod

""

nodeinit.updateStrategy.type

Тип стратегии обновления nodeinit

"RollingUpdate"

nodeinit.extraEnv

Дополнительные переменные окружения nodeinit

[]

nodeinit.extraVolumes

Дополнительные Volume nodeinit

[]

nodeinit.extraVolumeMounts

Список дополнительных точек монтирования томов (VolumeMounts) в контейнере

[]

nodeinit.affinity

Настройки правила привязки (affinity и anti-affinity) pod к узлам

{}

nodeinit.nodeSelector

Селектор узлов для планирования pod

 
kubernetes.io/os: linux

nodeinit.tolerations

Toleration для размещения pod на узлах с ограничениями (taints).
Пример конфигурации:

- operator: Exists
  - key: "key"
    operator: "Equal|Exists"
    value: "value"
    effect: "NoSchedule|PreferNoSchedule|NoExecute"

- operator: Exists

nodeinit.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

nodeinit.podAnnotations

Аннотации, добавляемые к pod nodeinit

{}

nodeinit.podLabels

Метки, добавляемые к pod nodeinit

{}

nodeinit.podSecurityContext.appArmorProfile.type

Профиль AppArmor для pod cilium-node-init и init-контейнеров

"Unconfined"

nodeinit.resources.requests.cpu

Запрашиваемые ресурсы CPU для nodeinit

"100m"

nodeinit.resources.requests.memory

Запрос памяти для nodeinit

"100Mi"

nodeinit.securityContext.allowPrivilegeEscalation

Активация разрешения на эскалацию привилегий в контейнере

false

nodeinit.securityContext.privileged

Запуск pod с повышенными привилегиями

false

nodeinit.securityContext.seLinuxOptions.level

Уровень SELinux

's0'

nodeinit.securityContext.seLinuxOptions.type

Тип SELinux

'spc_t'

nodeinit.securityContext.capabilities.add

Список добавляемых мандатов (capabilities) в контейнер

 
- SYS_MODULE
- NET_ADMIN
- SYS_ADMIN
- SYS_CHROOT
- SYS_PTRACE

nodeinit.bootstrapFile

Путь к файлу, куда записывается временная метка начальной загрузки DaemonSet nodeinit

"/tmp/cilium-bootstrap.d/cilium-bootstrap-time"

nodeinit.startup.preScript

Скрипт, выполняемый до основного скрипта запуска nodeinit

""

nodeinit.startup.postScript

Скрипт, выполняемый после основного скрипта запуска nodeinit

""

nodeinit.prestop.preScript

Скрипт, выполняемый до основного скрипта prestop nodeinit

""

nodeinit.prestop.postScript

Скрипт, выполняемый после основного скрипта prestop nodeinit

""

preflight — ресурсы предварительной проверки#

Параметр

Описание

Значение по умолчанию

preflight.enabled

Включение ресурсов предварительной проверки Cilium перед проведением обновления кластера

false

preflight.image.override

Переопределение образа контейнера preflight

~

preflight.image.repository

Путь к репозиторию контейнерного образа preflight

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-cilium/cilium'

preflight.image.tag

Тег образа контейнера preflight

"v1.18.12"

preflight.image.digest

Дайджест (SHA-хеш) образа контейнера preflight

""

preflight.image.useDigest

Использование дайджеста образа вместо тега

false

preflight.image.pullPolicy

Политика загрузки образа

"IfNotPresent"

preflight.envoy.image.override

Переопределение образа контейнера Envoy preflight

~

preflight.envoy.image.repository

Путь к репозиторию контейнерного образа Envoy preflight

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-cilium-proxy/cilium-envoy'

preflight.envoy.image.tag

Тег образа контейнера Envoy preflight

"v1.36.9"

preflight.envoy.image.pullPolicy

Политика загрузки образа

"IfNotPresent"

preflight.envoy.image.digest

Дайджест (SHA-хеш) образа контейнера Envoy preflight

""

preflight.envoy.image.useDigest

Использование дайджеста образа вместо тега

false

preflight.priorityClassName

Имя PriorityClass для pod

""

preflight.updateStrategy.type

Тип стратегии обновления preflight

"RollingUpdate"

preflight.extraEnv

Дополнительные переменные окружения preflight

[]

preflight.extraVolumes

Дополнительные Volume preflight

[]

preflight.extraVolumeMounts

Список дополнительных точек монтирования томов (VolumeMounts) в контейнере

[]

preflight.affinity

Настройки правила привязки (affinity и anti-affinity) pod к узлам

 
podAffinity:
  requiredDuringSchedulingIgnoredDuringExecution:
    - topologyKey: kubernetes.io/hostname
      labelSelector:
        matchLabels:
          k8s-app: cilium

preflight.nodeSelector

Селектор узлов для планирования pod

 
kubernetes.io/os: linux

preflight.tolerations

Toleration для размещения pod на узлах с ограничениями (taints).
Пример конфигурации:

- operator: Exists
  - key: "key"
    operator: "Equal|Exists"
    value: "value"
    effect: "NoSchedule|PreferNoSchedule|NoExecute"

- operator: Exists

preflight.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

preflight.podSecurityContext

Параметры контекста безопасности pod

{}

preflight.podAnnotations

Аннотации, добавляемые к pod preflight

{}

preflight.podLabels

Метки, добавляемые к pod preflight

{}

preflight.podDisruptionBudget.enabled

Включение PodDisruptionBudget

false

preflight.podDisruptionBudget.minAvailable

Количество или процент pod, которые должны оставаться доступными

null

preflight.podDisruptionBudget.maxUnavailable

Максимальное число или процент pod, которые могут быть недоступны

1

preflight.podDisruptionBudget.unhealthyPodEvictionPolicy

Политика высвобождения (eviction) для неработоспособных pod, защищенных PodDisruptionBudget

null

preflight.resources

Запросы и ограничения ресурсов для контейнера.
Пример конфигурации:

  limits:
    cpu: 4000m
    memory: 4Gi
  requests:
    cpu: 100m
    memory: 512Mi

{}

preflight.readinessProbe.initialDelaySeconds

Время ожидания kubelet перед выполнением первой проверки

5

preflight.readinessProbe.periodSeconds

Интервал между проверками готовности

5

preflight.securityContext.allowPrivilegeEscalation

Активация разрешения на эскалацию привилегий в контейнере

false

preflight.tofqdnsPreCache

Путь для записи файла --tofqdns-pre-cache

""

preflight.terminationGracePeriodSeconds

Время, отведенное на корректное завершение работы pod

1

preflight.validateCNPs

Валидация схемы установленных ресурсов CiliumNetworkPolicy (CNP) на корректность перед обновлением

true

enableCriticalPriorityClass — управление классом приоритета для критических компонентов#

Параметр

Описание

Значение по умолчанию

enableCriticalPriorityClass

Автоматическое назначение критического класса приоритета (system-node-critical) для системных pod Cilium

true

clustermesh — мультикластерная сеть#

Параметр

Описание

Значение по умолчанию

clustermesh.useAPIServer

Развертывание clustermesh-apiserver для ClusterMesh

false

clustermesh.maxConnectedClusters

Максимальное количество кластеров в ClusterMesh

255

clustermesh.enableEndpointSliceSynchronization

Включение синхронизации EndpointSlice Kubernetes для удаленных эндпоинтов глобальных сервисов с соответствующей аннотацией через ClusterMesh

false

clustermesh.enableMCSAPISupport

Включение поддержки API MCS (Multi-Cluster Services)

false

clustermesh.policyDefaultLocalCluster

Автоматическое ограничение области действия сетевых политик локальным кластером, если целевой кластер не указан явно

false

clustermesh.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

clustermesh.config.enabled

Активация использования явной конфигурации топологии ClusterMesh

false

clustermesh.config.domain

DNS-домен по умолчанию для API-серверов ClusterMesh при автоматическом формировании адресов удаленных кластеров по IP

"mesh.cilium.io"

clustermesh.config.clusters

Список кластеров для соединения в сети.
Пример конфигурации:

- name: cluster1
  address: cluster1.mesh.cilium.io
  port: 2379
  ips:
  - 172.18.255.201
  tls:
    cert: ""
    key: ""
    caCert: ""

[]

clustermesh.apiserver.image.override

Переопределение образа контейнера clustermesh-apiserver

~

clustermesh.apiserver.image.repository

Путь к репозиторию контейнерного образа clustermesh-apiserver

'{{ .Values.global.image.registry }}/{{ .Values.global.image.repository }}/{{ .Values.global.dappVersion }}/dapp-cilium/clustermesh-apiserver'

clustermesh.apiserver.image.tag

Тег образа контейнера clustermesh-apiserver

"v1.18.12"

clustermesh.apiserver.image.digest

Дайджест (SHA-хеш) образа контейнера clustermesh-apiserver

""

clustermesh.apiserver.image.useDigest

Использование дайджеста образа вместо тега

false

clustermesh.apiserver.image.pullPolicy

Политика загрузки образа

"IfNotPresent"

clustermesh.apiserver.healthPort

TCP-порт для агенат Health API clustermesh-apiserver

9880

clustermesh.apiserver.readinessProbe

Настройка параметров проверки готовности контейнера

{}

clustermesh.apiserver.etcd.resources

Запросы и ограничения ресурсов для контейнера.
Пример конфигурации:

   requests:
     cpu: 200m
     memory: 256Mi
   limits:
     cpu: 1000m
     memory: 256Mi

{}

clustermesh.apiserver.etcd.securityContext.allowPrivilegeEscalation

Активация разрешения на эскалацию привилегий в контейнере

false

clustermesh.apiserver.etcd.securityContext.capabilities.drop

Список capabilities для удаления

 
- ALL

clustermesh.apiserver.etcd.lifecycle

Параметры lifecycle для контейнера)

{}

clustermesh.apiserver.etcd.init.resources

Запросы и ограничения ресурсов для контейнера

{}

clustermesh.apiserver.etcd.init.extraArgs

Дополнительные аргументы для clustermesh-apiserver etcdinit

[]

clustermesh.apiserver.etcd.init.extraEnv

Дополнительные переменные окружения для clustermesh-apiserver etcdinit

[]

clustermesh.apiserver.etcd.storageMedium

Выбор среды хранения для встроенного etcd в Clustermesh.
Возможные значения: Disk (размещение базы на стандартном диске узла), Memory (в оперативной памяти)

"Disk"

clustermesh.apiserver.kvstoremesh.enabled

Включение KVStoreMesh. Кеширует информацию, полученную из удаленных кластеров, в локальном экземпляре etcd

true

clustermesh.apiserver.kvstoremesh.healthPort

TCP-порт для агента Health API KVStoreMesh

9881

clustermesh.apiserver.kvstoremesh.readinessProbe

Настройка параметров проверки готовности контейнера

{}

clustermesh.apiserver.kvstoremesh.extraArgs

Дополнительные аргументы KVStoreMesh

[]

clustermesh.apiserver.kvstoremesh.extraEnv

Дополнительные переменные окружения KVStoreMesh

[]

clustermesh.apiserver.kvstoremesh.resources

Запросы и ограничения ресурсов для контейнера.
Пример конфигурации:

limits:
  cpu: 4000m
  memory: 4Gi
requests:
  cpu: 100m
  memory: 512Mi

{}

clustermesh.apiserver.kvstoremesh.extraVolumeMounts

Список дополнительных точек монтирования томов (VolumeMounts) в контейнере

[]

clustermesh.apiserver.kvstoremesh.securityContext.allowPrivilegeEscalation

Активация разрешения на эскалацию привилегий в контейнере

false

clustermesh.apiserver.kvstoremesh.securityContext.capabilities.drop

Список capabilities для удаления

 
- ALL

clustermesh.apiserver.kvstoremesh.lifecycle

Параметры lifecycle для контейнера)

{}

clustermesh.apiserver.kvstoremesh.kvstoreMode

Режим KVStore при запуске KVStoreMesh.
Возможные значения: "internal", "external"

"internal"

clustermesh.apiserver.service.type

Тип Service, используемый для доступа к API-серверу ClusterMesh

"NodePort"

clustermesh.apiserver.service.nodePort

Внешний NodePort для сетевого доступа к Hubble Relay

32379

clustermesh.apiserver.service.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

clustermesh.apiserver.service.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

clustermesh.apiserver.service.externalTrafficPolicy

Политика распределения внешнего трафика для Service, используемого для доступа к API-сервера ClusterMesh

"Cluster"

clustermesh.apiserver.service.internalTrafficPolicy

Политика распределения внутреннего трафика для Service, используемого для доступа к API-сервера ClusterMesh

"Cluster"

clustermesh.apiserver.service.enableSessionAffinity

Режим привязки сессий к pod API-сервера ClusterMesh.
Возможные значения: HAOnly, Always, Never

"HAOnly"

clustermesh.apiserver.service.loadBalancerClass

Имя класса балансировщика для Service типа LoadBalancer API-сервера ClusterMesh

~

clustermesh.apiserver.service.loadBalancerIP

Статический IP-адрес балансировщика для Service API-сервера ClusterMesh

~

clustermesh.apiserver.service.loadBalancerSourceRanges

Диапазоны IP-адресов источников (loadBalancerSourceRanges), разрешенных для доступа к Service API-сервера ClusterMesh

[]

clustermesh.apiserver.replicas

Количество реплик pod

1

clustermesh.apiserver.lifecycle

Параметры lifecycle для контейнера)

{}

clustermesh.apiserver.terminationGracePeriodSeconds

Время, отведенное на корректное завершение работы pod

30

clustermesh.apiserver.extraArgs

Дополнительные аргументы API-сервера ClusterMesh

[]

clustermesh.apiserver.extraEnv

Дополнительные переменные окружения API-сервера ClusterMesh

[]

clustermesh.apiserver.extraVolumes

Дополнительные Volume API-сервера ClusterMesh

[]

clustermesh.apiserver.extraVolumeMounts

Список дополнительных точек монтирования томов (VolumeMounts) в контейнере

[]

clustermesh.apiserver.securityContext.allowPrivilegeEscalation

Активация разрешения на эскалацию привилегий в контейнере

false

clustermesh.apiserver.securityContext.capabilities.drop

Список capabilities для удаления

 
- ALL

clustermesh.apiserver.podSecurityContext.runAsNonRoot

Запуск pod от имени пользователя без административных полномочий

true

clustermesh.apiserver.podSecurityContext.runAsUser

UID пользователя, от имени которого запускается pod

65532

clustermesh.apiserver.podSecurityContext.runAsGroup

GID группы, от имени которой запускается pod

65532

clustermesh.apiserver.podSecurityContext.fsGroup

Идентификатор группы файловой системы для pod, назначаемый владельцем всех файлов и каталогов на подключенных томах

65532

clustermesh.apiserver.podAnnotations

Аннотации, добавляемые к pod API-сервера ClusterMesh

{}

clustermesh.apiserver.podLabels

Метки, добавляемые к pod API-сервера ClusterMesh

{}

clustermesh.apiserver.podDisruptionBudget.enabled

Включение PodDisruptionBudget

false

clustermesh.apiserver.podDisruptionBudget.minAvailable

Количество или процент pod, которые должны оставаться доступными

null

clustermesh.apiserver.podDisruptionBudget.maxUnavailable

Максимальное число или процент pod, которые могут быть недоступными

1

clustermesh.apiserver.podDisruptionBudget.unhealthyPodEvictionPolicy

Политика высвобождения (eviction) для неработоспособных pod, защищенных PodDisruptionBudget

null

clustermesh.apiserver.resources

Запросы и ограничения ресурсов для контейнера.
Пример конфигурации:

limits:
  cpu: 100m
  memory: 64Mi
requests:
  cpu: 1000m
  memory: 1024M

{}

clustermesh.apiserver.affinity

Настройки правила привязки (affinity и anti-affinity) pod к узлам

 
podAntiAffinity:
  preferredDuringSchedulingIgnoredDuringExecution:
    - weight: 100
      podAffinityTerm:
        labelSelector:
          matchLabels:
            k8s-app: clustermesh-apiserver
        topologyKey: kubernetes.io/hostname

clustermesh.apiserver.topologySpreadConstraints

Ограничения топологии для равномерного распределения pod по зонам доступности и узлам.
Пример конфигурации:

- maxSkew: 1
  topologyKey: topology.kubernetes.io/zone
  whenUnsatisfiable: DoNotSchedule

[]

clustermesh.apiserver.nodeSelector

Селектор узлов для планирования pod

 
kubernetes.io/os: linux

clustermesh.apiserver.tolerations

Toleration для размещения pod на узлах с ограничениями (taints)

[]

clustermesh.apiserver.updateStrategy.type

Тип стратегии обновления API-сервера ClusterMesh

"RollingUpdate"

clustermesh.apiserver.updateStrategy.rollingUpdate.maxSurge

Максимальное количество pod или значение в процентах во время обновления

1

clustermesh.apiserver.updateStrategy.rollingUpdate.maxUnavailable

Максимальное количество недоступных pod во время обновления

0

clustermesh.apiserver.priorityClassName

Имя PriorityClass для pod

""

clustermesh.apiserver.tls.authMode

Настройка режима аутентификации ClusterMesh.
Возможные значения: legacy, migration, cluster

"legacy"

clustermesh.apiserver.tls.enableSecrets

Возможность использования пользовательских TLS-сертификатов для ClusterMesh API-сервера

true

clustermesh.apiserver.tls.auto.enabled

Автоматическая генерация корневого CA и сертификатов для работы mTLS между компонентами ClusterMesh

true

clustermesh.apiserver.tls.auto.method

Метод автоматической генерации TLS-сертификатов.
Возможные значения: helm, cronJob или certmanager

"helm"

clustermesh.apiserver.tls.auto.certValidityDuration

Срок действия автоматически генерируемых TLS-сертификатов в днях

1095

clustermesh.apiserver.tls.auto.certManagerIssuerRef

Ссылка на издателя (Issuer/ClusterIssuer) cert-manager при выборе метода method: certmanager

{}

clustermesh.apiserver.tls.server.cert

Сертификат сервера ClusterMesh API-сервера в формате PEM, закодированный в base64

""

clustermesh.apiserver.tls.server.key

Закрытый ключ сервера ClusterMesh API-сервера в формате PEM, закодированный в base64

""

clustermesh.apiserver.tls.server.extraDnsNames

Список дополнительных DNS-имен для включения в автоматически генерируемый сертификат сервера

[]

clustermesh.apiserver.tls.server.extraIpAddresses

Список дополнительных IP-адресов для включения в автоматически генерируемый сертификат сервера

[]

clustermesh.apiserver.tls.admin.cert

Административный TLS-сертификат ClusterMesh API-сервера в формате PEM, закодированный в base64

""

clustermesh.apiserver.tls.admin.key

Административный закрытый TLS-ключ ClusterMesh API-сервера в формате PEM, закодированный в base64

""

clustermesh.apiserver.tls.client.cert

Клиентский TLS-сертификат ClusterMesh API-сервера в формате PEM, закодированный в base64r

""

clustermesh.apiserver.tls.client.key

Клиентский закрытый TLS-ключ ClusterMesh API-сервера в формате PEM, закодированный в base64

""

clustermesh.apiserver.tls.remote.cert

TLS-сертификат удаленного кластера для ClusterMesh API-сервера в формате PEM, закодированный в base64

""

clustermesh.apiserver.tls.remote.key

Закрытый TLS-ключ удаленного кластера для ClusterMesh API-сервера в формате PEM, закодированный в base64

""

clustermesh.apiserver.metrics.enabled

Включение экспорта метрик API-сервера в формате OpenMetrics

true

clustermesh.apiserver.metrics.port

Номер сетевого порта для сбора метрик API-сервера ClusterMesh

9962

clustermesh.apiserver.metrics.kvstoremesh.enabled

Активация экспортера OpenMetrics/Prometheus для компонента KVStoreMesh

true

clustermesh.apiserver.metrics.kvstoremesh.port

Номер сетевого порта для сбора метрик KVStoreMesh

9964

clustermesh.apiserver.metrics.etcd.enabled

Активация экспортера OpenMetrics/Prometheus для встроенного хранилища etcd

true

clustermesh.apiserver.metrics.etcd.mode

Уровень детализации метрик etcd.
Возможные значения: basic или extensive (для включения серверных гистограмм gRPC)

"basic"

clustermesh.apiserver.metrics.etcd.port

Настройка порта, на котором прослушивает сервер метрик etcd

9963

clustermesh.apiserver.metrics.serviceMonitor.enabled

Создание ресурсов ServiceMonitor. Требует доступности CRD Prometheus

true

clustermesh.apiserver.metrics.serviceMonitor.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

clustermesh.apiserver.metrics.serviceMonitor.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

clustermesh.apiserver.metrics.serviceMonitor.interval

Интервал сбора метрик

"10s"

clustermesh.apiserver.metrics.serviceMonitor.scrapeTimeout

Настройка тайм-аута сбора метрик

~

clustermesh.apiserver.metrics.serviceMonitor.relabelings

Правила фильтрации и преобразования меток, применяемые к целям сбора до начала сбора метрик

~

clustermesh.apiserver.metrics.serviceMonitor.metricRelabelings

Правила фильтрации и преобразования меток, применяемые к собранным метрикам

~

clustermesh.apiserver.metrics.serviceMonitor.kvstoremesh.interval

Интервал сбора метрик (метрики KVStoreMesh)

"10s"

clustermesh.apiserver.metrics.serviceMonitor.kvstoremesh.scrapeTimeout

Настройка тайм-аута сбора метрик

~

clustermesh.apiserver.metrics.serviceMonitor.kvstoremesh.relabelings

Правила фильтрации и преобразования меток, применяемые к целям сбора до начала сбора метрик

~

clustermesh.apiserver.metrics.serviceMonitor.kvstoremesh.metricRelabelings

Правила фильтрации и преобразования меток, применяемые к собранным метрикам

~

clustermesh.apiserver.metrics.serviceMonitor.etcd.interval

Интервал сбора метрик (метрики etcd)

"10s"

clustermesh.apiserver.metrics.serviceMonitor.etcd.scrapeTimeout

Настройка тайм-аута сбора метрик

~

clustermesh.apiserver.metrics.serviceMonitor.etcd.relabelings

Правила фильтрации и преобразования меток, применяемые к целям сбора до начала сбора метрик

~

clustermesh.apiserver.metrics.serviceMonitor.etcd.metricRelabelings

Правила фильтрации и преобразования меток, применяемые к собранным метрикам

~

cgroup — параметры интеграции с подсистемой cgroups#

Параметр

Описание

Значение по умолчанию

cgroup.autoMount.enabled

Включение автоматического монтирования файловой системы cgroup2 по пути cgroup.hostRoot на хосте и внутри pod Cilium

true

cgroup.autoMount.resources.limits.cpu

Ограничения ресурсов CPU для init-контейнера автоматического монтирования cgroup

"100m"

cgroup.autoMount.resources.limits.memory

Ограничения ресурсов памяти для init-контейнера автоматического монтирования cgroup

"128Mi"

cgroup.autoMount.resources.requests.cpu

Запрашиваемые ресурсы CPU для init-контейнера автоматического монтирования cgroup

"100m"

cgroup.autoMount.resources.requests.memory

Запрос памяти для init-контейнера автоматического монтирования cgroup

"128Mi"

cgroup.hostRoot

Путь к корневой директории монтирования файловой системы cgroup2 на хосте

"/run/cilium/cgroupv2"

sysctlfix — исправления sysctl#

Параметр

Описание

Значение по умолчанию

sysctlfix.enabled

Активация init-контейнера sysctlfix с монтированием /proc хоста для автоматической корректировки сетевых параметров sysctl

true

agentNotReadyTaintKey — ключ ограничения неготовности агента#

Параметр

Описание

Значение по умолчанию

agentNotReadyTaintKey

Имя ключа ограничения (taint), указывающего на неготовность агента Cilium на узле. При использовании префикса ignore-taint.cluster-autoscaler.kubernetes.io/ Cluster Autoscaler игнорирует это ограничение при масштабировании кластера

"node.cilium.io/agent-not-ready"

dnsProxy — параметры DNS-прокси#

Параметр

Описание

Значение по умолчанию

dnsProxy.socketLingerTimeout

Время задержки закрытия соединения DNS-прокси с upstream-сервером в секундах (значение 0 закрывает через TCP RST, -1 — асинхронно в фоне)

10

dnsProxy.dnsRejectResponseCode

Код ответа DNS (RCODE) при блокировке DNS-запросов сетевыми политиками.
Возможные значения: nameError, refused

"refused"

dnsProxy.enableDnsCompression

Активация сжатия DNS-ответов для pod, если размер пакета превышает 512 байт или лимиты опции EDNS0

true

dnsProxy.endpointMaxIpPerHostname

Максимальное количество IP-адресов, сохраняемых в кеше для одного FQDN-имени в контексте каждого эндпоинта

1000

dnsProxy.idleConnectionGracePeriod

Допустимый период удержания неактивных соединений с истекшими DNS-запросами в статусе активных

"0s"

dnsProxy.maxDeferredConnectionDeletes

Максимальный лимит IP-адресов для сохранения при обработке отложенных удалений соединений с истекшими DNS-запросами

10000

dnsProxy.minTtl

Минимальный TTL в секундах для кеширования FQDN-записей. При 0 Cilium строго следует TTL от вышестоящего DNS-сервера

0

dnsProxy.preCache

Путь к файлу с данными кеша DNS для предварительной загрузки при старте агента

""

dnsProxy.proxyPort

Номер глобального сетевого порта для запуска DNS-прокси в агенте Cilium. Значение 0 делегирует выбор порта операционной системе

0

dnsProxy.proxyResponseMaxDelay

Максимальное время удержания DNS-ответа прокси-сервером перед отправкой pod для синхронизации пути прохождения трафика eBPF

"100ms"

dnsProxy.preAllocateIdentities

Активация предварительного выделения идентификаторов безопасности для FQDN-политик (ToFQDN) с целью снижения задержек

true

sctp — поддержка протокола SCTP#

Параметр

Описание

Значение по умолчанию

sctp.enabled

Включение поддержки протокола SCTP

false

enableNonDefaultDenyPolicies — включение политик Non-Default-Deny#

Параметр

Описание

Значение по умолчанию

enableNonDefaultDenyPolicies

Активация поддержки политик безопасности без стандартного запрета трафика по умолчанию (Non-Default-Deny)

true

authentication — аутентификация между сервисами#

Параметр

Описание

Значение по умолчанию

authentication.enabled

Включение подсистемы взаимной аутентификации узлов и сборщика мусора аутентификационных записей

true

authentication.queueSize

Размер буфера очереди для обработки входящих событий аутентификации из eBPF-карты сигналов

1024

authentication.rotatedIdentitiesQueueSize

Размер буфера канала, который Cilium использует для получения событий истечения сертификата из обработчиков аутентефикации

1024

authentication.gcInterval

Интервал запуска сборщика мусора (GC) для очистки устаревших записей в eBPF-карте аутентификации

"5m0s"

authentication.mutual.port

Номер порта агента Cilium для выполнения mTLS-рукопожатий взаимной аутентификации между узлами

4250

authentication.mutual.connectTimeout

Тайм-аут установления TCP-соединения с удаленным узлом для прохождения аутентификации

"5s"

authentication.mutual.spire.enabled

Включение интеграции SPIRE

false

authentication.mutual.spire.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

authentication.mutual.spire.install.enabled

Включение установки SPIRE

true

authentication.mutual.spire.install.namespace

Пространство имен SPIRE для установки

"cilium-spire"

authentication.mutual.spire.install.existingNamespace

Отключение создания и управления пространством имен SPIRE силами Helm (используется, если пространство имен уже существует в кластере)

false

authentication.mutual.spire.install.initImage.override

Переопределение образа init-контейнера агента и сервера SPIRE

~

authentication.mutual.spire.install.initImage.repository

Репозиторий образа init-контейнера агента и сервера SPIRE

"docker.io/library/busybox"

authentication.mutual.spire.install.initImage.tag

Тег образа init-контейнера SPIRE

"1.37.0"

authentication.mutual.spire.install.initImage.digest

Дайджест (SHA-хеш) образа init-контейнера SPIRE

"sha256:<hash>"

authentication.mutual.spire.install.initImage.useDigest

Использование дайджеста образа вместо тега

true

authentication.mutual.spire.install.initImage.pullPolicy

Политика загрузки образа

"IfNotPresent"

authentication.mutual.spire.install.agent.priorityClassName

Имя PriorityClass для pod

""

authentication.mutual.spire.install.agent.image.override

Переопределение образа агента SPIRE

~

authentication.mutual.spire.install.agent.image.repository

Репозиторий образа агента SPIRE

"ghcr.io/spiffe/spire-agent"

authentication.mutual.spire.install.agent.image.tag

Тег образа агента SPIRE

"1.12.4"

authentication.mutual.spire.install.agent.image.digest

Дайджест (SHA-хеш) образа агента SPIRE

"sha256:<hash>"

authentication.mutual.spire.install.agent.image.useDigest

Использование дайджеста образа вместо тега

true

authentication.mutual.spire.install.agent.image.pullPolicy

Политика загрузки образа

"IfNotPresent"

authentication.mutual.spire.install.agent.serviceAccount.create

Включение создания ServiceAccount для агента SPIRE

true

authentication.mutual.spire.install.agent.serviceAccount.name

Имя ServiceAccount для агента SPIRE

"spire-agent"

authentication.mutual.spire.install.agent.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

authentication.mutual.spire.install.agent.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

authentication.mutual.spire.install.agent.resources

Запросы и ограничения ресурсов для контейнера

{}

authentication.mutual.spire.install.agent.skipKubeletVerification

Проверка kubelet для аттестации рабочих нагрузок агента SPIRE

true

authentication.mutual.spire.install.agent.tolerations

Toleration для размещения pod на узлах с ограничениями (taints)

 
- key: node.kubernetes.io/not-ready
  effect: NoSchedule
- key: node-role.kubernetes.io/master
  effect: NoSchedule
- key: node-role.kubernetes.io/control-plane
  effect: NoSchedule
- key: node.cloudprovider.kubernetes.io/uninitialized
  effect: NoSchedule
  value: "true"
- key: CriticalAddonsOnly
  operator: "Exists"

authentication.mutual.spire.install.agent.affinity

Настройки правила привязки (affinity и anti-affinity) pod к узлам

{}

authentication.mutual.spire.install.agent.nodeSelector

Селектор узлов для планирования pod

{}

authentication.mutual.spire.install.agent.podSecurityContext

Параметры контекста безопасности pod

{}

authentication.mutual.spire.install.agent.securityContext

Контекст безопасности для контейнеров агента SPIRE

{}

authentication.mutual.spire.install.server.priorityClassName

Имя PriorityClass для pod

""

authentication.mutual.spire.install.server.image.override

Переопределение образа сервера SPIRE

~

authentication.mutual.spire.install.server.image.repository

Репозиторий образа сервера SPIRE

"ghcr.io/spiffe/spire-server"

authentication.mutual.spire.install.server.image.tag

Тег образа сервера SPIRE

"1.12.4"

authentication.mutual.spire.install.server.image.digest

Дайджест (SHA-хеш) образа сервера SPIRE

"sha256:<hash>"

authentication.mutual.spire.install.server.image.useDigest

Использование дайджеста образа вместо тега

true

authentication.mutual.spire.install.server.image.pullPolicy

Политика загрузки образа

"IfNotPresent"

authentication.mutual.spire.install.server.serviceAccount.create

Включение создания ServiceAccount для сервера SPIRE

true

authentication.mutual.spire.install.server.serviceAccount.name

Имя ServiceAccount для сервера SPIRE

"spire-server"

authentication.mutual.spire.install.server.initContainers

Список init-контейнеров, запускаемых перед основными

[]

authentication.mutual.spire.install.server.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

authentication.mutual.spire.install.server.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

authentication.mutual.spire.install.server.resources

Запросы и ограничения ресурсов для контейнера

{}

authentication.mutual.spire.install.server.service.type

Тип Service для сервера SPIRE

"ClusterIP"

authentication.mutual.spire.install.server.service.annotations

Аннотации, добавляемые ко всем создаваемым ресурсам

{}

authentication.mutual.spire.install.server.service.labels

Метки, добавляемые ко всем создаваемым ресурсам

{}

authentication.mutual.spire.install.server.affinity

Настройки правила привязки (affinity и anti-affinity) pod к узлам

{}

authentication.mutual.spire.install.server.nodeSelector

Селектор узлов для планирования pod

{}

authentication.mutual.spire.install.server.tolerations

Toleration для размещения pod на узлах с ограничениями (taints)

[]

authentication.mutual.spire.install.server.dataStorage.enabled

Включение хранения данных сервера SPIRE

true

authentication.mutual.spire.install.server.dataStorage.size

Размер хранения данных сервера SPIRE

"1Gi"

authentication.mutual.spire.install.server.dataStorage.accessMode

Режим доступа хранения данных сервера SPIRE

"ReadWriteOnce"

authentication.mutual.spire.install.server.dataStorage.storageClass

StorageClass для хранения данных сервера SPIRE

null

authentication.mutual.spire.install.server.podSecurityContext

Параметры контекста безопасности pod

{}

authentication.mutual.spire.install.server.securityContext

Контекст безопасности для контейнеров сервера SPIRE

{}

authentication.mutual.spire.install.server.ca.keyType

Тип ключа CA SPIRE

"rsa-4096"

authentication.mutual.spire.install.server.ca.subject.country

Страна субъекта CA SPIRE

"US"

authentication.mutual.spire.install.server.ca.subject.organization

Организация субъекта CA SPIRE

"SPIRE"

authentication.mutual.spire.install.server.ca.subject.commonName

Общее имя субъекта CA SPIRE

"Cilium SPIRE CA"

authentication.mutual.spire.serverAddress

Сетевой адрес сервера SPIRE для использования Cilium Operator (при указании DNS-имени с портом адрес определяется через clusterIP ресурса Service)

~

authentication.mutual.spire.trustDomain

Домен доверия SPIFFE для валидации и получения TLS-сертификатов

"spiffe.cilium"

authentication.mutual.spire.adminSocketPath

Путь к Unix-сокету административного API SPIRE для прослушивания делегированным агентом

"/run/spire/sockets/admin.sock"

authentication.mutual.spire.agentSocketPath

Путь к Unix-сокету агента SPIRE для взаимодействия с агентом Cilium и Cilium Operator

"/run/spire/sockets/agent/agent.sock"

authentication.mutual.spire.connectionTimeout

Тайм-аут подключения SPIRE

"30s"

enableInternalTrafficPolicy — поддержка политики распределения внутреннего трафика#

Параметр

Описание

Значение по умолчанию

enableInternalTrafficPolicy

Включение политики распределения внутреннего трафика (Internal Traffic Policy)

true

enableLBIPAM — управление IP-адресами для сервисов балансировщика нагрузки#

Параметр

Описание

Значение по умолчанию

enableLBIPAM

Включение управления IP-адресами для балансировщика нагрузки

true