implementing-container-network-policies-with-calico について
Kubernetes で Calico ネットワークポリシーを監査・設定するセキュリティスキルです。calicoctl と Kubernetes API を使い、名前空間の分離や通信ルールの設定、接続性の検証を進めます。
主な機能
- 01既存ポリシーの監査
- 02名前空間のデフォルト拒否ルール設定
- 03ワークロード別許可ルールの定義
- 04接続性制御の検証
- 05JSON 監査レポートの生成
活用シーン
- 01ネットワーク保護のない名前空間の特定
- 02デフォルト拒否のインバウンド・アウトバウンド制御の導入
- 03必要な Pod とサービス間通信の許可
- 04Pod 間でのポリシー動作の確認
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/implementing-container-network-policies-with-calicoを入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
LICENSEreferences/api-reference.mdscripts/agent.py詳細
Calico によるコンテナーネットワークポリシーの実装
概要
Calico は、CNI プラグインを通じて Kubernetes ネイティブかつ拡張されたネットワークポリシーの適用を提供します。このスキルでは、calicoctl と Kubernetes API を使用して Calico の NetworkPolicy および GlobalNetworkPolicy リソースを作成・監査し、Pod 間のトラフィック制御、名前空間の分離、エグレス制限、DNS ベースのポリシールールを実装する方法を扱います。
使用するタイミング
- 環境において、コンテナーネットワークポリシーを Calico で実装する機能を導入または設定するとき
- コンプライアンス要件に沿ったセキュリティ統制を確立するとき
- この分野のセキュリティアーキテクチャを構築または改善するとき
- この実装が必要なセキュリティ評価を実施するとき
前提条件
- Calico CNI がインストールされた Kubernetes クラスター
kubernetesクライアントライブラリを備えた Python 3.9 以降- calicoctl CLI ツールのインストールおよび設定
- ネットワークポリシー管理に必要な RBAC 権限を持つ kubectl アクセス
手順
手順 1: 既存のネットワークポリシーを監査する
calicoctl と kubectl を使用して、現在のネットワークポリシーを棚卸しし、保護されていない名前空間を特定します。
手順 2: デフォルト拒否ポリシーを実装する
ゼロトラストの基準線として、名前空間ごとにデフォルト拒否の Ingress およびエグレスポリシーを作成します。
手順 3: ワークロード固有の許可ルールを作成する
正当な Pod 間通信および Pod からサービスへの通信を許可する、きめ細かなルールを定義します。
手順 4: ポリシーの適用を検証する
Pod 間の接続をテストし、ポリシーが正しく適用されていることを確認します。
期待される出力
すべてのネットワークポリシー、保護されていない名前空間、ポリシールール数、および接続テストの結果を一覧にした JSON 監査レポート。