TerraformでGKE Dataplane V2を有効化し、NetworkPolicyでPod間通信を遮断してみた

Wed, 02 Sep 2026 00:00:00 +0900

概要
#

GKEプライベートクラスタと踏み台の構成は、デフォルトのデータプレーン（kube-proxy、iptablesベース）を使っていました。同じネームスペースに複数チームのアプリが同居する場合、Pod間の通信を意図したものだけに制限したい場面があります。

GKE Dataplane V2（Cilium/eBPFベース）は、NetworkPolicyの強制がビルトインされています。追加のCNI（Calico等）を用意しなくても、ラベルベースでPod間通信を制限できます。

「Dataplane V2を有効化した」ことと「NetworkPolicyが実際に意図通り機能する」ことは別です。許可したラベルのPodからは通り、許可していないPodからは遮断されることを、実際にPodを起動して確認します。

Terraformの基本操作と、前々回のGKEプライベートクラスタ＋踏み台構成は前提としています。

Filestore CSI、GCS FUSE CSI、Secret Manager CSI、NodeLocal DNSCache、詳細なLogging/Monitoring設定は扱いません。Dataplane V2とNetworkPolicyの検証に範囲を絞ります。

検証すること
#

datapath_provider = "ADVANCED_DATAPATH"でDataplane V2を有効化できること
許可したラベルのPodからは、NetworkPolicyで保護されたPodへ通信できること
許可していないPodからは、実際に通信が遮断されること（apply成功とは別の確認）

前提環境
#

Google Cloud CLI、Terraform、Docker
Billingが有効な検証用Google Cloud Project
GKE、Compute Engineを操作できるGoogleアカウント
検証時のバージョン：Terraform 1.14.3、google 7.46.0

使用するTerraformコード
#

通信がどこで遮断されるか
#

flowchart LR
    subgraph NODE["GKE ノード"]
        A["Pod A
label: role=client"]
        EBPF["Dataplane V2
eBPF による適用点"]
        B["Pod B
label: role=server"]
    end
    NP["NetworkPolicy
podSelector: role=server
ingress: role=client のみ"]
    NP -.->|"ルールを配る"| EBPF
    A -->|"許可"| EBPF --> B
    C["Pod C
label なし"] -->|"遮断"| EBPF

NetworkPolicy はルールを宣言するだけで、実際に落とすのは Dataplane V2 側です。

NetworkPolicy on LIFELOG

TerraformでGKE Dataplane V2を有効化し、NetworkPolicyでPod間通信を遮断してみた

概要 #

検証すること #

前提環境 #

使用するTerraformコード #

通信がどこで遮断されるか #

概要
#

検証すること
#

前提環境
#

使用するTerraformコード
#

通信がどこで遮断されるか
#