【Tetragon / eBPF】K8s 身份感知策略：Namespaced、选择器与 hostSelector
钉清 TracingPolicyNamespaced、podSelector、containerSelector 与 v1.7.0 hostSelector（null 与 {}）；改编官方组合表；说明无 OCI hook 时 API server best-effort，以及 policyfilter 关闭时的加载失败语义。
policyfilter 标签归档
共 3 篇文章 · 返回首页
【Tetragon / eBPF】排障坐标系：无事件、策略不生效、导出缺口、误阻断与血缘空洞
按五轴映射 Tetragon v1.7.0 故障：无事件落在 Hook/BTF/加载，策略不生效落在 collectionKey 撞名与 policyfilter，JSON allow/deny 不等于 gRPC，Override 依赖 CONFIG_BPF_KPROBE_OVERRIDE，血缘空洞来自 execve_map 未命中与 procFS 回填。
【Tetragon / eBPF】Runtime Hooks 与容器边界：OCI hook、NRI 与 API server 窗口
钉死 Tetragon v1.7.0 Runtime Hooks：无 hook 时身份策略依赖 API server 而存在窗口；tetragon-oci-hook 经 tetragon.sock 同步通知 agent；CRI-O OCI 目录与 containerd NRI 的分工；agent 不可达时按命名空间 fail-open 或 fail-closed。