Cilium CLI 实战使用cilium hubble disable通过 Helm 关闭 Hubble 可观测性【免费下载链接】ciliumeBPF-based Networking, Security, and Observability项目地址: https://gitcode.com/GitHub_Trending/ci/cilium导读本文围绕 Cilium CLI 中的cilium hubble disable命令展开介绍如何在已启用 Hubble 的 Kubernetes 集群中通过 Helm 一键关闭 Hubble 可观测性组件Hubble Relay 与 Hubble UI并深入剖析其底层实现原理DisableWithHelm的 Helm 升级逻辑与相关 Values 语义。读完本文你将掌握 Hubble 启停的完整命令链、关键参数含义、配置生效机制以及验证关闭结果与恢复可观测性的实操方法。一、命令概览cilium hubble disable是什么在 Documentation/cmdref/cilium_hubble_disable.md 中该命令的用途被明确标注为Disable Hubble observability using Helm即通过 Helm 禁用 Hubble 可观测性。它是cilium hubble命令组下的子命令之一与enable、port-forward、ui一起构成 Hubble 生命周期管理工具链见 Documentation/cmdref/cilium_hubble.md。命令基本用法cilium hubble disable [flags]从 cilium-cli/cli/hubble.go 的源码可以看出disable命令在注册时只有Use: disable与Short: Disable Hubble observability using Helm两个元信息没有额外定义任何业务参数执行时直接调用底层函数hubble.DisableWithHelm(ctx, RootK8sClient, params)。因此它的全部可配置项都来自父命令继承的全局参数见下文第三节。二、适用场景与前置条件cilium hubble disable适用于以下典型场景资源回收Hubble Relay / Hubble UI 不再需要释放其 Deployment、Service 等占用的集群资源安全加固或降噪临时关闭观测面减少暴露的端口与服务集群瘦身在性能敏感或资源受限的集群中移除观测组件故障排查怀疑 Hubble 组件导致问题时先关闭再逐步启用定位。前置条件Cilium 已通过Helm方式安装cilium hubble disable内部走的是 Helm 升级流程而非直接删除资源已配置好访问目标集群的kubeconfig或通过--kubeconfig指定当前 kubectl context 指向目标集群可用--context切换。注意Hubble 的hubble-relay、hubble-ui等组件本身由 Helm chart 管理直接kubectl delete会被下一次helm upgrade重新拉起来而cilium hubble disable通过修改 Helm Values 再执行升级属于声明式关闭结果会持久化在 Helm release 中。三、参数详解3.1 本地参数disable子命令仅有一个本地选项参数说明-h, --help显示disable子命令的帮助信息3.2 继承自父命令的全局参数以下参数继承自cilium根命令见 Documentation/cmdref/cilium.md 的 Options inherited from parent commands 一节参数类型默认值说明--as stringstring—以指定用户名普通用户或 ServiceAccount身份模拟执行操作--as-group stringArraystringArray—模拟指定的用户组可重复传入多个组--context stringstring—指定 Kubernetes 配置上下文kubeconfig 中的 context 名--helm-release-name stringstringciliumHelm release 名称disable命令会升级该 release--kubeconfig stringstring—指定 kubeconfig 文件路径-n, --namespace stringstringkube-systemCilium 运行所在的命名空间也可通过CILIUM_NAMESPACE环境变量设置其中与disable语义最相关的是--helm-release-name与-n/--namespace--helm-release-name决定了 Helm 升级作用于哪个 release。默认值为cilium即使用cilium install安装时创建的 release 名称--namespace决定 Helm release 所在的命名空间。默认kube-system与标准安装位置一致如果你把 Cilium 安装在别的命名空间必须显式传入-n或设置CILIUM_NAMESPACE环境变量否则会升级错误的 release。典型用法# 关闭默认命名空间中的 Hubble cilium hubble disable # 显式指定 release 与命名空间 cilium hubble disable --helm-release-name cilium -n kube-system # 通过环境变量指定命名空间 CILIUM_NAMESPACEkube-system cilium hubble disable四、底层实现原理DisableWithHelm 到底做了什么disable命令的核心逻辑位于 cilium-cli/hubble/hubble.go 的DisableWithHelm函数func DisableWithHelm(ctx context.Context, k8sClient *k8s.Client, params Parameters) error { options : values.Options{ Values: []string{hubble.relay.enabledfalse, hubble.ui.enabledfalse}, } vals, err : helm.MergeVals(options, nil) if err ! nil { return err } upgradeParams : helm.UpgradeParameters{ Namespace: params.Namespace, Name: params.HelmReleaseName, Values: vals, ResetValues: false, ReuseValues: true, Wait: params.Wait, WaitDuration: defaults.UninstallTimeout, } _, err helm.Upgrade(ctx, k8sClient.HelmActionConfig, upgradeParams) return err }4.1 关键点一关闭的是 Relay 与 UI而不是hubble.enabled实现中写入的 Values 只有两个hubble.relay.enabledfalsehubble.ui.enabledfalse它不会把hubble.enabled设为false。这与 Cilium Helm chart 的 Values 语义一致见 install/kubernetes/cilium/README.mdValues默认值含义hubble.enabledtrue启用 Hubble默认开启hubble.relay.enabledfalse启用 Hubble Relay要求hubble.enabledtruehubble.ui.enabledfalse是否启用 Hubble UI也就是说hubble.enabledtrue控制的是 Cilium Agent 内的 Hubble 服务端例如 cilium-configmap.yaml 中的enable-hubble: {{ .Values.hubble.enabled | quote }}以及 Peer Service 等基础能力hubble.relay.enabled与hubble.ui.enabled控制的是上层组件Hubble Relay 与 Hubble UI。cilium hubble disable的实际语义是在保留 Hubble 基础服务端的前提下关闭 Hubble Relay 与 Hubble UI 这两个上层组件。这解释了为何文档描述为 Disable Hubble observability using Helm —— 它面向的是通过cilium hubble enable --relay --ui开启的那部分观测组件。4.2 关键点二它是一次带条件合并的 Helm 升级从UpgradeParameters可以看到三个重要选项ResetValues: false不重置 chart 的既有 Values避免丢失其他自定义配置ReuseValues: true复用 release 中已保存的 Values与本次传入的两个值合并后再升级WaitDuration: defaults.UninstallTimeout等待升级完成超时时间复用卸载命令的默认超时defaults.UninstallTimeout。结合这三项disable本质上是只改两个开关、其余配置不动的增量式 Helm 升级。因此即使你此前通过cilium install --set ...或helm upgrade设置过大量自定义参数执行cilium hubble disable也不会误伤它们。4.3 关键点三触发 chart 模板的条件渲染Helm 升级后chart 模板会根据新的 Values 重新渲染关闭对应组件。例如 install/kubernetes/cilium/templates/hubble/relay.yaml 中的资源如hubble-relayDeployment/Service以hubble.relay.enabled为渲染条件Hubble UI 相关资源同样由hubble.ui.enabled控制。hubble.relay.enabledfalse后这些资源的 manifest 不再生成Kubernetes 中对应的 Deployment、Service 会被 Helm 回收删除。同时相关联动也会一并关闭例如CA 证书自动签发逻辑cilium-ca-secret.yaml的生成条件包含hubble.relay.enabled与hubble.ui.enabledTLS 证书签发 CronJobtemplates/hubble/tls-cronjob/中 Relay 服务端证书、UI 客户端证书的生成条件均依赖hubble.relay.enabled/hubble.ui.enabled。因此关闭后与 Relay、UI 相关的证书轮换与 Secret 管理也会自动停止属于整体摘除。五、与cilium hubble enable的对称关系disable与enable是一对互逆命令。enable的定义同样位于 cilium-cli/cli/hubble.go其参数为参数默认值说明--relaytrue部署 Hubble Relay--uifalse启用 Hubble UI对应实现 cilium-cli/hubble/hubble.go 的EnableWithHelm写入hubble.relay.enabledtrue 当 --relay 未关闭时 hubble.ui.enabledtrue 当 --ui 开启时对比可见操作写入的 Valuescilium hubble enable --relay --uihubble.relay.enabledtrue、hubble.ui.enabledtruecilium hubble disablehubble.relay.enabledfalse、hubble.ui.enabledfalse两者采用完全相同的Values 合并 Helm 升级机制只是写入的布尔值相反这保证了启停操作的可重复性与可逆性。六、验证关闭结果与重新开启6.1 验证关闭结果执行cilium hubble disable后可通过以下方式验证# 查看 hubble-relay / hubble-ui 相关资源是否已被移除 kubectl get pods -n kube-system | grep hubble # 查看 helm 中当前生效的 values helm get values cilium -n kube-system | grep -A2 hubble预期结果hubble-relay、hubble-ui相关的 Pod/Deployment/Service 不再存在Helm release 中hubble.relay.enabled与hubble.ui.enabled均为false。6.2 重新开启 Hubble如需恢复观测能力执行对称命令# 开启 Hubble Relay默认与 Hubble UI cilium hubble enable --relay --ui6.3 配套的观测入口命令关闭前若要使用观测入口可参考cilium hubble命令组下的另外两个命令见 Documentation/cmdref/cilium_hubble.mdcilium hubble port-forward将 Hubble Relay 的 Service 端口转发到本地默认本地端口4245见 cilium-cli/cli/hubble.go底层通过hubble-relayService 转发实现见 cilium-cli/hubble/relay.gocilium hubble ui打开 Hubble UI默认本地端口12000可通过--open-browserfalse禁止自动打开浏览器。如果执行port-forward或ui时发现无法连接一个常见原因就是 Hubble Relay / UI 已被cilium hubble disable关闭。七、注意事项与最佳实践只影响 Relay 与 UI不关闭 Agent 内 Hubble 服务端如需彻底关闭 Agent 侧的enable-hubble需自行通过helm upgrade或cilium install --set hubble.enabledfalse修改hubble.enabledcilium hubble disable不负责此项确保 release 名称与命名空间正确默认--helm-release-name cilium、-n kube-system。若与安装时不一致命令会升级错误的 release 或找不到 release命令可重复执行由于是声明式的 Values 合并重复执行cilium hubble disable不会产生副作用可用于幂等的资源回收流程与cilium uninstall的区别cilium uninstall会卸载整个 Cilium 集群组件而cilium hubble disable只移除 Hubble 的上层观测组件Cilium 数据面与基础 Hubble 服务端仍然运行证书联动关闭 Relay/UI 后相关 TLS 证书签发与轮换任务随之停用若日后重新enablechart 会按需重新生成证书。八、总结cilium hubble disable是 Cilium CLI 提供的一个面向 Helm 安装模式的 Hubble 关闭入口其实现要点可以概括为三点写入hubble.relay.enabledfalse与hubble.ui.enabledfalse两个 Values、以 ReuseValues 方式合并既有配置、通过 Helm 升级触发 chart 条件渲染核心实现见 cilium-cli/hubble/hubble.go。它与cilium hubble enable --relay --ui构成完整的启停闭环配合port-forward、ui命令即可完成 Hubble 可观测性的日常生命周期管理。【免费下载链接】ciliumeBPF-based Networking, Security, and Observability项目地址: https://gitcode.com/GitHub_Trending/ci/cilium创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 Cilium CLI 实战：使用 `cilium hubble disable` 通过 Helm 关闭 Hubble 可观测性
Cilium CLI 实战使用cilium hubble disable通过 Helm 关闭 Hubble 可观测性【免费下载链接】ciliumeBPF-based Networking, Security, and Observability项目地址: https://gitcode.com/GitHub_Trending/ci/cilium导读本文围绕 Cilium CLI 中的cilium hubble disable命令展开介绍如何在已启用 Hubble 的 Kubernetes 集群中通过 Helm 一键关闭 Hubble 可观测性组件Hubble Relay 与 Hubble UI并深入剖析其底层实现原理DisableWithHelm的 Helm 升级逻辑与相关 Values 语义。读完本文你将掌握 Hubble 启停的完整命令链、关键参数含义、配置生效机制以及验证关闭结果与恢复可观测性的实操方法。一、命令概览cilium hubble disable是什么在 Documentation/cmdref/cilium_hubble_disable.md 中该命令的用途被明确标注为Disable Hubble observability using Helm即通过 Helm 禁用 Hubble 可观测性。它是cilium hubble命令组下的子命令之一与enable、port-forward、ui一起构成 Hubble 生命周期管理工具链见 Documentation/cmdref/cilium_hubble.md。命令基本用法cilium hubble disable [flags]从 cilium-cli/cli/hubble.go 的源码可以看出disable命令在注册时只有Use: disable与Short: Disable Hubble observability using Helm两个元信息没有额外定义任何业务参数执行时直接调用底层函数hubble.DisableWithHelm(ctx, RootK8sClient, params)。因此它的全部可配置项都来自父命令继承的全局参数见下文第三节。二、适用场景与前置条件cilium hubble disable适用于以下典型场景资源回收Hubble Relay / Hubble UI 不再需要释放其 Deployment、Service 等占用的集群资源安全加固或降噪临时关闭观测面减少暴露的端口与服务集群瘦身在性能敏感或资源受限的集群中移除观测组件故障排查怀疑 Hubble 组件导致问题时先关闭再逐步启用定位。前置条件Cilium 已通过Helm方式安装cilium hubble disable内部走的是 Helm 升级流程而非直接删除资源已配置好访问目标集群的kubeconfig或通过--kubeconfig指定当前 kubectl context 指向目标集群可用--context切换。注意Hubble 的hubble-relay、hubble-ui等组件本身由 Helm chart 管理直接kubectl delete会被下一次helm upgrade重新拉起来而cilium hubble disable通过修改 Helm Values 再执行升级属于声明式关闭结果会持久化在 Helm release 中。三、参数详解3.1 本地参数disable子命令仅有一个本地选项参数说明-h, --help显示disable子命令的帮助信息3.2 继承自父命令的全局参数以下参数继承自cilium根命令见 Documentation/cmdref/cilium.md 的 Options inherited from parent commands 一节参数类型默认值说明--as stringstring—以指定用户名普通用户或 ServiceAccount身份模拟执行操作--as-group stringArraystringArray—模拟指定的用户组可重复传入多个组--context stringstring—指定 Kubernetes 配置上下文kubeconfig 中的 context 名--helm-release-name stringstringciliumHelm release 名称disable命令会升级该 release--kubeconfig stringstring—指定 kubeconfig 文件路径-n, --namespace stringstringkube-systemCilium 运行所在的命名空间也可通过CILIUM_NAMESPACE环境变量设置其中与disable语义最相关的是--helm-release-name与-n/--namespace--helm-release-name决定了 Helm 升级作用于哪个 release。默认值为cilium即使用cilium install安装时创建的 release 名称--namespace决定 Helm release 所在的命名空间。默认kube-system与标准安装位置一致如果你把 Cilium 安装在别的命名空间必须显式传入-n或设置CILIUM_NAMESPACE环境变量否则会升级错误的 release。典型用法# 关闭默认命名空间中的 Hubble cilium hubble disable # 显式指定 release 与命名空间 cilium hubble disable --helm-release-name cilium -n kube-system # 通过环境变量指定命名空间 CILIUM_NAMESPACEkube-system cilium hubble disable四、底层实现原理DisableWithHelm 到底做了什么disable命令的核心逻辑位于 cilium-cli/hubble/hubble.go 的DisableWithHelm函数func DisableWithHelm(ctx context.Context, k8sClient *k8s.Client, params Parameters) error { options : values.Options{ Values: []string{hubble.relay.enabledfalse, hubble.ui.enabledfalse}, } vals, err : helm.MergeVals(options, nil) if err ! nil { return err } upgradeParams : helm.UpgradeParameters{ Namespace: params.Namespace, Name: params.HelmReleaseName, Values: vals, ResetValues: false, ReuseValues: true, Wait: params.Wait, WaitDuration: defaults.UninstallTimeout, } _, err helm.Upgrade(ctx, k8sClient.HelmActionConfig, upgradeParams) return err }4.1 关键点一关闭的是 Relay 与 UI而不是hubble.enabled实现中写入的 Values 只有两个hubble.relay.enabledfalsehubble.ui.enabledfalse它不会把hubble.enabled设为false。这与 Cilium Helm chart 的 Values 语义一致见 install/kubernetes/cilium/README.mdValues默认值含义hubble.enabledtrue启用 Hubble默认开启hubble.relay.enabledfalse启用 Hubble Relay要求hubble.enabledtruehubble.ui.enabledfalse是否启用 Hubble UI也就是说hubble.enabledtrue控制的是 Cilium Agent 内的 Hubble 服务端例如 cilium-configmap.yaml 中的enable-hubble: {{ .Values.hubble.enabled | quote }}以及 Peer Service 等基础能力hubble.relay.enabled与hubble.ui.enabled控制的是上层组件Hubble Relay 与 Hubble UI。cilium hubble disable的实际语义是在保留 Hubble 基础服务端的前提下关闭 Hubble Relay 与 Hubble UI 这两个上层组件。这解释了为何文档描述为 Disable Hubble observability using Helm —— 它面向的是通过cilium hubble enable --relay --ui开启的那部分观测组件。4.2 关键点二它是一次带条件合并的 Helm 升级从UpgradeParameters可以看到三个重要选项ResetValues: false不重置 chart 的既有 Values避免丢失其他自定义配置ReuseValues: true复用 release 中已保存的 Values与本次传入的两个值合并后再升级WaitDuration: defaults.UninstallTimeout等待升级完成超时时间复用卸载命令的默认超时defaults.UninstallTimeout。结合这三项disable本质上是只改两个开关、其余配置不动的增量式 Helm 升级。因此即使你此前通过cilium install --set ...或helm upgrade设置过大量自定义参数执行cilium hubble disable也不会误伤它们。4.3 关键点三触发 chart 模板的条件渲染Helm 升级后chart 模板会根据新的 Values 重新渲染关闭对应组件。例如 install/kubernetes/cilium/templates/hubble/relay.yaml 中的资源如hubble-relayDeployment/Service以hubble.relay.enabled为渲染条件Hubble UI 相关资源同样由hubble.ui.enabled控制。hubble.relay.enabledfalse后这些资源的 manifest 不再生成Kubernetes 中对应的 Deployment、Service 会被 Helm 回收删除。同时相关联动也会一并关闭例如CA 证书自动签发逻辑cilium-ca-secret.yaml的生成条件包含hubble.relay.enabled与hubble.ui.enabledTLS 证书签发 CronJobtemplates/hubble/tls-cronjob/中 Relay 服务端证书、UI 客户端证书的生成条件均依赖hubble.relay.enabled/hubble.ui.enabled。因此关闭后与 Relay、UI 相关的证书轮换与 Secret 管理也会自动停止属于整体摘除。五、与cilium hubble enable的对称关系disable与enable是一对互逆命令。enable的定义同样位于 cilium-cli/cli/hubble.go其参数为参数默认值说明--relaytrue部署 Hubble Relay--uifalse启用 Hubble UI对应实现 cilium-cli/hubble/hubble.go 的EnableWithHelm写入hubble.relay.enabledtrue 当 --relay 未关闭时 hubble.ui.enabledtrue 当 --ui 开启时对比可见操作写入的 Valuescilium hubble enable --relay --uihubble.relay.enabledtrue、hubble.ui.enabledtruecilium hubble disablehubble.relay.enabledfalse、hubble.ui.enabledfalse两者采用完全相同的Values 合并 Helm 升级机制只是写入的布尔值相反这保证了启停操作的可重复性与可逆性。六、验证关闭结果与重新开启6.1 验证关闭结果执行cilium hubble disable后可通过以下方式验证# 查看 hubble-relay / hubble-ui 相关资源是否已被移除 kubectl get pods -n kube-system | grep hubble # 查看 helm 中当前生效的 values helm get values cilium -n kube-system | grep -A2 hubble预期结果hubble-relay、hubble-ui相关的 Pod/Deployment/Service 不再存在Helm release 中hubble.relay.enabled与hubble.ui.enabled均为false。6.2 重新开启 Hubble如需恢复观测能力执行对称命令# 开启 Hubble Relay默认与 Hubble UI cilium hubble enable --relay --ui6.3 配套的观测入口命令关闭前若要使用观测入口可参考cilium hubble命令组下的另外两个命令见 Documentation/cmdref/cilium_hubble.mdcilium hubble port-forward将 Hubble Relay 的 Service 端口转发到本地默认本地端口4245见 cilium-cli/cli/hubble.go底层通过hubble-relayService 转发实现见 cilium-cli/hubble/relay.gocilium hubble ui打开 Hubble UI默认本地端口12000可通过--open-browserfalse禁止自动打开浏览器。如果执行port-forward或ui时发现无法连接一个常见原因就是 Hubble Relay / UI 已被cilium hubble disable关闭。七、注意事项与最佳实践只影响 Relay 与 UI不关闭 Agent 内 Hubble 服务端如需彻底关闭 Agent 侧的enable-hubble需自行通过helm upgrade或cilium install --set hubble.enabledfalse修改hubble.enabledcilium hubble disable不负责此项确保 release 名称与命名空间正确默认--helm-release-name cilium、-n kube-system。若与安装时不一致命令会升级错误的 release 或找不到 release命令可重复执行由于是声明式的 Values 合并重复执行cilium hubble disable不会产生副作用可用于幂等的资源回收流程与cilium uninstall的区别cilium uninstall会卸载整个 Cilium 集群组件而cilium hubble disable只移除 Hubble 的上层观测组件Cilium 数据面与基础 Hubble 服务端仍然运行证书联动关闭 Relay/UI 后相关 TLS 证书签发与轮换任务随之停用若日后重新enablechart 会按需重新生成证书。八、总结cilium hubble disable是 Cilium CLI 提供的一个面向 Helm 安装模式的 Hubble 关闭入口其实现要点可以概括为三点写入hubble.relay.enabledfalse与hubble.ui.enabledfalse两个 Values、以 ReuseValues 方式合并既有配置、通过 Helm 升级触发 chart 条件渲染核心实现见 cilium-cli/hubble/hubble.go。它与cilium hubble enable --relay --ui构成完整的启停闭环配合port-forward、ui命令即可完成 Hubble 可观测性的日常生命周期管理。【免费下载链接】ciliumeBPF-based Networking, Security, and Observability项目地址: https://gitcode.com/GitHub_Trending/ci/cilium创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考