implementing-container-network-policies-with-calico
使用 Calico CNI 网络策略和全局网络策略实施 Kubernetes 网络分段，控制 Pod 间流量、限制出口流量并实现零信任微分段。
Best use case
implementing-container-network-policies-with-calico is best used when you need a repeatable AI agent workflow instead of a one-off prompt.
使用 Calico CNI 网络策略和全局网络策略实施 Kubernetes 网络分段，控制 Pod 间流量、限制出口流量并实现零信任微分段。
Teams using implementing-container-network-policies-with-calico should expect a more consistent output, faster repeated execution, less prompt rewriting.
When to use this skill
- You want a reusable workflow that can be run more than once with consistent structure.
When not to use this skill
- You only need a quick one-off answer and do not need a reusable workflow.
- You cannot install or maintain the underlying files, dependencies, or repository context.
Installation
Claude Code / Cursor / Codex
Manual Installation
- Download SKILL.md from GitHub
- Place it in
.claude/skills/implementing-container-network-policies-with-calico/SKILL.mdinside your project - Restart your AI agent — it will auto-discover the skill
How implementing-container-network-policies-with-calico Compares
| Feature / Agent | implementing-container-network-policies-with-calico | Standard Approach |
|---|---|---|
| Platform Support | Not specified | Limited / Varies |
| Context Awareness | High | Baseline |
| Installation Complexity | Unknown | N/A |
Frequently Asked Questions
What does this skill do?
使用 Calico CNI 网络策略和全局网络策略实施 Kubernetes 网络分段，控制 Pod 间流量、限制出口流量并实现零信任微分段。
Where can I find the source code?
You can find the source code on GitHub using the link provided at the top of the page.
SKILL.md Source
# 使用 Calico 实施容器网络策略 ## 概述 Calico 通过其 CNI 插件提供 Kubernetes 原生及扩展的网络策略执行能力。本技能涵盖创建和审计 Calico NetworkPolicy 与 GlobalNetworkPolicy 资源，使用 calicoctl 和 Kubernetes API 实现 Pod 间流量控制、命名空间隔离、出口限制以及基于 DNS 的策略规则。 ## 前提条件 - 已安装 Calico CNI 的 Kubernetes 集群 - Python 3.9+，需安装 `kubernetes` 客户端库 - 已安装并配置 calicoctl CLI 工具 - 具有网络策略管理 RBAC 权限的 kubectl 访问权限 ## 步骤 ### 步骤 1：审计现有网络策略 使用 calicoctl 和 kubectl 盘点当前网络策略，识别未受保护的命名空间。 ### 步骤 2：实施默认拒绝策略 为每个命名空间创建默认拒绝入口和出口流量的策略，作为零信任基线。 ### 步骤 3：创建工作负载专属允许规则 为合法的 Pod 间及 Pod 与服务间通信定义细粒度允许规则。 ### 步骤 4：验证策略执行 测试 Pod 间连通性，验证策略是否正确执行。 ## 预期输出 JSON 审计报告，列出所有网络策略、未受保护的命名空间、策略规则数量和连通性测试结果。
Related Skills
securing-container-registry-with-harbor
Harbor 是一个开源容器镜像仓库，提供安全功能包括漏洞扫描（集成 Trivy）、镜像签名（Notary/Cosign）、RBAC、内容信任策略（Content Trust）、复制和审计日志。配置这些功能以强制执行镜像来源验证、防止有漏洞镜像部署并维护仓库访问控制。
securing-container-registry-images
通过使用 Trivy 和 Grype 实施漏洞扫描、使用 Cosign 和 Sigstore 强制执行镜像签名、配置镜像仓库访问控制，以及构建阻止部署未扫描或未签名镜像的 CI/CD 流水线，来保护容器仓库（Container Registry）中的镜像安全。
scanning-network-with-nmap-advanced
使用 Nmap 的脚本引擎、时序控制、规避技术和输出解析，对授权目标网络执行高级网络侦察， 发现主机、枚举服务、检测漏洞并识别操作系统。
scanning-containers-with-trivy-in-cicd
本技能涵盖将 Aqua Security 的 Trivy 扫描器集成到 CI/CD 流水线中，用于全面的容器镜像漏洞检测。包括扫描 Docker 镜像中的操作系统包和应用依赖 CVE、检测 Dockerfile 中的错误配置、扫描文件系统和 Git 仓库，以及建立基于严重性的质量门禁以阻止有漏洞的镜像部署。
scanning-container-images-with-grype
使用 Anchore Grype 扫描容器镜像的已知漏洞（Vulnerability），支持基于 SBOM 的匹配和可配置的严重性阈值。
performing-wireless-network-penetration-test
执行无线网络渗透测试，通过捕获握手包、破解 WPA2/WPA3 密钥、检测流氓接入点以及使用 Aircrack-ng 和相关工具测试无线网络分段，评估 WiFi 安全性。
performing-ot-network-security-assessment
本技能涵盖对运营技术（OT）网络（包括SCADA系统、DCS架构和工业控制系统通信路径）进行全面安全评估。内容涉及Purdue参考模型各层、识别IT/OT融合风险、评估区域间防火墙规则，以及映射工业协议流量（Modbus、DNP3、OPC UA、EtherNet/IP），以检测关键基础设施中的错误配置、未授权连接和攻击面。
performing-network-traffic-analysis-with-zeek
部署 Zeek 网络安全监控器，捕获、解析和分析网络流量元数据，用于威胁检测、异常识别和取证调查。
performing-network-traffic-analysis-with-tshark
使用 tshark 和 pyshark 自动化网络流量分析，进行协议统计、可疑流量检测、DNS 异常识别以及从 PCAP 文件中提取威胁指标（IOC）
performing-network-packet-capture-analysis
使用 Wireshark、tshark 和 tcpdump 对网络数据包捕获（PCAP/PCAPNG）进行取证分析，重建网络通信、提取传输文件、识别恶意流量，并建立数据渗出或命令与控制活动的证据。
performing-network-forensics-with-wireshark
使用 Wireshark 和 tshark 捕获并分析网络流量，重建网络事件、提取制品并识别恶意通信。
performing-external-network-penetration-test
依照 PTES 方法论，通过侦察、扫描、漏洞利用和报告等阶段，对面向互联网的基础设施执行全面的外部网络渗透测试，识别可利用漏洞。