cleanstart/tigera-operator

Tigera-Operator 容器文档

镜像概述和主要用途

Tigera Operator是企业级Kubernetes操作器，专注于管理Calico网络和网络安全组件的安装、升级与配置。它提供Calico核心网络和安全功能的自动化部署及全生命周期管理，涵盖网络策略、BGP配置和IP地址管理等关键能力，基于安全加固的最小化基础操作系统构建，适用于企业容器化环境。

📌 基础架构：采用安全加固的最小化基础操作系统，专为企业容器化环境设计，源自cleanstart registry。

核心功能

该容器的核心能力与优势：

• Calico网络的自动化部署与管理
• 网络策略执行与安全控制
• BGP路由和IP地址管理
• 零停机升级与配置更新

使用场景

该容器的典型适用场景：

• Kubernetes集群网络管理
• 网络安全策略执行
• 多集群网络编排
• 云原生网络运维

拉取最新镜像

从仓库下载容器镜像：

bash
docker pull docker.xuanyuan.run/cleanstart/tigera-operator:latest

bash
docker pull docker.xuanyuan.run/cleanstart/tigera-operator:latest-dev

基本运行

使用基础配置运行容器：

bash
docker run -it --name tigera-operator-test docker.xuanyuan.run/cleanstart/tigera-operator:latest-dev

生产部署

使用生产环境安全设置部署：

bash
docker run -d --name tigera-operator-prod \
  --read-only \
  --security-opt=no-new-privileges \
  --user 1000:1000 \
 docker.xuanyuan.run/cleanstart/tigera-operator:latest

卷挂载

挂载本地目录实现数据持久化：

bash
docker run -v $(pwd)/data:/data docker.xuanyuan.run/cleanstart/tigera-operator:latest

端口转发

使用自定义端口映射运行：

bash
docker run -p 9443:9443 docker.xuanyuan.run/cleanstart/tigera-operator:latest

环境变量

可通过环境变量配置的选项：

安全最佳实践

推荐的安全配置与实践：

• 使用RBAC策略限制操作器权限
• 启用网络策略保护操作器通信
• 定期更新至最新安全补丁
• 配置资源配额与限制
• 使用安全通信通道（TLS）
• 实施适当的审计日志
• 监控操作器活动与告警
• 遵循最小权限原则

Kubernetes安全上下文

Kubernetes部署的推荐安全上下文：

yaml
securityContext:
  runAsNonRoot: true
  runAsUser: 1000
  runAsGroup: 1000
  readOnlyRootFilesystem: true
  allowPrivilegeEscalation: false
  capabilities:
    drop: ["ALL"]
    add: ["NET_ADMIN", "NET_RAW"]

多平台镜像

bash
docker pull --platform linux/amd64 cleanstart/tigera-operator:latest
docker pull --platform linux/arm64 cleanstart/tigera-operator:latest

文档资源

关键链接与扩展信息资源：

• 容器仓库：[***]
• Calico文档：[***]
• CleanStart社区镜像：https://hub.docker.com/u/cleanstart
• 如何运行CleanStart镜像及示例项目：https://github.com/cleanstart-dev/cleanstart-containers%EF%BC%8C
  • 如何使用Dockerfile运行示例项目
  • 如何通过Kubernetes YAML部署
  • 如何从公共镜像迁移到CleanStart镜像

漏洞免责声明

CleanStart提供的Docker镜像包含由独立贡献者维护的第三方开源库和软件包。尽管CleanStart维护这些镜像并应用行业标准安全实践，但无法保证其控制范围之外的上游组件的安全性或完整性。

用户确认并同意，开源软件可能包含未发现的漏洞，或通过更新引入新风险。CleanStart不对源自第三方库的安全问题负责，包括但不限于零日漏洞、供应链***或贡献者引入的风险。

安全是共同责任：CleanStart会在可能的情况下提供更新的镜像和指导，而用户负责评估部署并实施适当的控制措施。