The symptom that made no sense The first time we saw it, we didn’t trust the dashboard. A distributed training job was scheduled and healthy — every pod was running, no crashes, no OOMKills, nothing in...

在Kubernetes中，IP地址仅表示位置而非身份，可能导致网络策略失效。SPIFFE提供基于证书的工作负载身份验证，确保服务间通过证书相互验证。SPIRE作为SPIFFE的实现，管理身份生命周期并颁发短期证书。Cilium利用eBPF在网络层实现互TLS，简化安全策略实施，并通过CiliumNetworkPolicy强制服务间身份验证，确保安全通信。

Cilium团队在CI/CD管道中加强安全性，确保生产和CI凭证隔离，签署每个发布。通过限制权限和环境保护，防止攻击者访问关键凭证，并计划改进依赖审查和漏洞扫描，以提升整体安全性。

Cilium在CI/CD管道中通过固定SHA值防止恶意代码注入，使用Renovate自动更新依赖，确保依赖安全。所有Go依赖集中管理，避免外部模块代理风险。静态分析工具用于捕捉潜在错误，确保工作流安全。

过去一年，开源供应链面临安全挑战，特别是npm和PyPI的攻击。Cilium项目采取措施加强供应链安全，包括限制构建触发、分离可信与不可信代码、使用CODEOWNERS进行审查等。未来将继续改进依赖管理和凭证隔离。

文章讨论了在生产环境中运行多个CNCF项目时的集成税，强调了团队在连接项目时所需的时间和精力。作者分享了集成过程中遇到的问题及解决方案，指出使用Cluster API和GitOps方法可以简化管理和灾难恢复。通过自动化和标准化配置，团队提高了效率，减少了故障发生。

文章讨论了在生产环境中运行多个CNCF项目时的“集成税”，即整合不同工具的隐性成本。互操作性不足导致监控和证书管理等功能失效。通过Cluster API（CAPI）和GitOps方法，可以简化集群管理和灾难恢复，提高系统的可维护性和安全性。

Kubernetes的复杂性在于管理大规模集群。微软的Azure Kubernetes Fleet Manager通过定义可重用策略，简化了集群更新和跨集群连接，提高了管理效率。Cilium Cluster Mesh技术支持跨集群的无缝连接，帮助团队高效利用GPU资源，确保工作负载顺畅迁移。

Cilium 1.19发布，庆祝十年发展，专注于安全加固和网络政策优化。新版本引入严格的加密模式，确保节点间流量加密，满足金融和公共部门需求。同时改进了多集群设置和可观察性，支持AI工作负载，增强安全性和可调试性。

Ingress-nginx将在2026年停止维护，用户需选择替代方案，如Cilium Ingress或Kubernetes Gateway API，以确保持续支持和安全性。Cilium提供快速迁移和增强的流量管理功能，适应未来需求。

Cilium项目自2015年发展为云原生CNI标准，现为CNCF第二大项目，市场占有率超过60%。在AI训练、虚拟机与容器融合及本地裸金属部署等领域展现出趋势。基础设施安全性内置，IPv6广泛应用，多集群架构成为新常态，标志着基础设施复杂性降低与控制力提升。

Cilium项目在2025年迎来十周年，发布了《2025年Cilium年度报告》。报告回顾了项目的发展历程和重要里程碑，展示了其作为成熟的云原生网络平台的演变。Cilium通过基于eBPF的架构整合了网络、可观察性和安全性，社区持续增长，开发活跃，应用范围扩大，包括虚拟机和大规模AI基础设施。

本文介绍了在Kubernetes集群中安全管理网络策略的方法，特别是在已有关键工作负载的情况下。强调了实施前测试和验证的重要性，以降低意外中断风险。Cilium网络策略扩展了Kubernetes功能，提供灵活规则和可视化。通过审计模式和默认拒绝设置，安全应用和更新策略，确保网络流量稳定。

现代企业在分布式架构中面临安全、性能和可见性挑战。通过将Cilium与SD-WAN集成，可以实现Kubernetes集群间的智能连接，优化流量路由，确保关键服务的安全与性能，同时简化网络管理。

DigitalOcean Kubernetes集群现已预装Kubernetes Gateway API，提供灵活的流量管理。该服务基于Cilium的高性能eBPF，支持高级路由和多租户，消除传统代理的开销。Gateway API将基础设施与应用路由分离，提升性能和降低延迟，适用于多种协议，无额外费用。