Calico（キャリコ）

2025年11月5日

Calico（キャリコ）

英語表記: Calico

概要

Calico（キャリコ）は、Kubernetesをはじめとするコンテナオーケストレーション環境において、高性能かつスケーラブルなコンテナネットワーク接続性と、高度なネットワークセキュリティポリシーを提供するオープンソースのソリューションです。これは、コンテナ技術（Docker, Podman）の文脈において、コンテナ間の通信を司るコンテナネットワークを実現するための主要なCNI（Container Network Interface）プラグインの一つとして機能します。単にコンテナにIPアドレスを割り当てるだけでなく、通信の許可・不許可を細かく定義する「マイクロセグメンテーション」を実現する点が、Calicoの最大の強みであり、多くの大規模環境で採用されている理由です。

詳細解説

Calicoの存在意義は、コンテナ技術が当たり前になった現代において、いかに効率的かつ安全にコンテナ間の通信を管理するか、という課題に応えることにあります。

目的と動作原理

Calicoの主な目的は二つあります。一つは、異なる物理ホスト上に存在するコンテナ同士が、まるで同じネットワーク内にいるかのようにスムーズに通信できる「IP接続性」を提供すること。もう一つは、コンテナ間の通信に対して厳格な「ネットワークポリシー」を適用し、セキュリティを確保することです。

Calicoが他の多くのCNIプラグインと一線を画しているのは、ネットワークを構築する際のアプローチです。多くのCNIがVXLANやFlannelなどの「オーバーレイネットワーク」技術を用いて仮想的なトンネルを掘るのに対し、Calicoはデフォルトで「ルーテッドネットワーク」のアプローチを採用しています。

具体的には、大規模なネットワーク環境で利用されるBGP（Border Gateway Protocol）の仕組みを利用し、各ノード（コンテナホスト）が自身の持つコンテナのIPアドレス情報をネットワーク全体に効率よくルーティング情報として共有します。これにより、データパケットが余計なカプセル化（トンネリング）を経ることなく、直接的に目的地にルーティングされるため、非常に高速な通信を実現できるのです。このシンプルさが、パフォーマンスを重視する現場で評価されるポイントだと感じています。

主要コンポーネント

Calicoの機能は、主に以下のコンポーネントによって成り立っています。

Calico CNI プラグイン:
コンテナが作成される際（kubeletやcontainerdからの要求時）に呼び出され、コンテナにネットワークインターフェースを設定し、IPアドレスを割り当てる役割を果たします。これは、CNI仕様に完全に準拠しています。
Felix（フェリックス）:
各コンテナホスト（ノード）上で動作する主要なデーモンです。Felixは、データストア（通常はKubernetes APIサーバー）から必要なネットワークポリシー情報やルーティング情報を取得し、それをノードのカーネル（OS）に適用する責任を負います。具体的には、Linuxのiptablesや、よりモダンな環境ではeBPFといった技術を用いて、パケットフィルタリングルール（セキュリティポリシー）を実装します。このFelixこそが、Calicoのセキュリティ機能の心臓部と言えるでしょう。
BGP クライアント/ルートリフレクター:
ノード間でコンテナのIPアドレス情報を交換し、効率的なルーティングを実現するために使用されます。特に大規模環境では、ルートリフレクター（集約ポイント）を設置し、BGPの負荷を管理することが一般的です。

この仕組みにより、Calicoはコンテナネットワークの基礎となる接続性を提供しつつ、その接続性をCNIプラグインとして提供し、さらに高度なセキュリティ機能でコンテナ環境を守っているのです。

具体例・活用シーン

Calicoがコンテナネットワークの分野で特に役立つのは、セキュリティとパフォーマンスが両立できないと思われがちな場面です。

活用シーンの具体例

マイクロセグメンテーションの実現: 銀行や医療システムなど、厳格なコンプライアンスが求められる環境で、アプリケーションを構成する各マイクロサービス（コンテナ）間の通信を最小限に制限します。「Webサーバーはアプリケーションサーバーにしか話しかけてはいけない」「データベースはバックエンドサービスからしかアクセスを許可しない」といった詳細なルールを、Calicoのネットワークポリシーによって実現します。これにより、もし一つのコンテナが侵害されたとしても、被害が他のコンテナに広がるのを防ぐことができます。
ハイブリッド/マルチクラウド環境での利用: Calicoはルーティングベースであるため、異なるクラウドプロバイダーやオンプレミス環境をまたがるKubernetesクラスター間でも、一貫したネットワークポリシーと接続性を維持しやすいという特徴があります。これは運用担当者にとって非常に心強いポイントです。

初心者向けのアナロジー：コンテナ街の「交通整理係と私設警備隊」

Calicoを理解するための良い比喩は、巨大なコンテナ街（Kubernetesクラスター）における「交通整理係」と「私設警備隊」を兼任する存在だと考えることです。

コンテナ街の交通整理係（ルーティング）:
この街には無数のコンテナ（建物）があり、それぞれが独立した住所（IPアドレス）を持っています。Calicoは、賢い交通整理係のように、どの建物がどこにあるのかという最新の地図情報（BGPルーティング）を常に把握しています。データパケット（荷物）が目的地に送られる際、この交通整理係は最短ルートを指示します。「トンネルを掘って迂回する」のではなく、「この道（物理ネットワーク）をまっすぐ進めばすぐ着くよ」と指示するため、荷物は非常に迅速に届けられます。これが、Calicoの高いパフォーマンスの秘訣です。

コンテナ街の私設警備隊（ネットワークポリシー）:
しかし、ただ速く運ぶだけでは危険です。Calicoは、各建物の前に立っている私設警備隊（Felix）でもあります。この警備隊は、街のルールブック（ネットワークポリシー）を所持しており、荷物（通信）が建物に入ろうとするたびに、そのルールブックと照合します。

「この荷物は、データベース棟から来たのか？ルールブックには、フロントエンド棟からの荷物しか許可されていないぞ！」
「この荷物は認証されているか？認証されていないなら門前払いだ！」

このように、警備隊は不正な通信をその場でブロックします。この厳格なチェック機能のおかげで、コンテナネットワークの内部で、非常に高いレベルのセキュリティ（マイクロセグメンテーション）が保たれているのです。この警備隊の存在こそが、Calicoが単なるCNIプラグイン以上の価値を持つ理由です。