docker/ucp-secureoverlay-agent

镜像概述

该镜像是在UCP环境下为Kubernetes创建加密覆盖网络所需的两个核心镜像之一。其主要功能是在集群节点的主机网络命名空间中，将IPSec加密配置应用于IPIP隧道，配置数据来源于Kubernetes密钥管理的密钥环。另一个配套镜像（ucp-secureoverlay-mgr）负责密钥环的密钥创建与轮换管理。

核心功能特性

• IPSec加密配置：自动将IPSec加密策略应用到节点的IPIP隧道，确保节点间隧道通信安全
• 动态配置生成：基于Kubernetes密钥管理的密钥环动态生成加密配置，无需手动干预
• 主机网络集成：直接在节点的主机网络命名空间中运行，确保配置对底层网络栈生效

使用场景

适用于由UCP管理的Kubernetes集群，需要为节点间通信提供加密保护的场景，特别适合对网络安全性有严格要求的生产环境，确保跨节点容器通信通过加密隧道传输。

使用方法

部署前提

• 集群已部署UCP管理平台
• 已创建并配置密钥环Kubernetes Secret（由ucp-secureoverlay-mgr管理）
• 节点需支持IPIP隧道和IPSec功能

典型部署方式

通常以DaemonSet形式部署在集群所有节点，确保每个节点运行一个实例：

yaml
apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: ucp-secureoverlay-agent
  namespace: ucp-system
spec:
  selector:
    matchLabels:
      app: secureoverlay-agent
  template:
    metadata:
      labels:
        app: secureoverlay-agent
    spec:
      hostNetwork: true
      privileged: true
      containers:
      - name: agent
        image: <镜像名称>
        volumeMounts:
        - name: keyring-secret
          mountPath: /etc/secureoverlay/keyring
          readOnly: true
        - name: host-netns
          mountPath: /host/netns
          readOnly: true
      volumes:
      - name: keyring-secret
        secret:
          secretName: ucp-secureoverlay-keyring
      - name: host-netns
        hostPath:
          path: /proc/1/ns/net

配置说明

注意事项

• 必须与ucp-secureoverlay-mgr镜像配合使用，单独部署无法正常工作
• 需确保节点内核支持IPIP隧道和IPSec模块
• 密钥环Secret需提前由ucp-secureoverlay-mgr创建并维护