cpg - инструмент для генерации Cillium Network Policy с помощью данных от hubble relay.

Алгоритм работы инструмента чрезвычайно прост - анализ DROPPED потоков и формирование из этого новых изменений для Cillium Network Policy.

Можно настроить для:
- определенного namespace
- всех namespace
- с учетом L7
- offline генерации на базе записанного флоу

Еще бы hubble relay не ел ресурсы как конь, то было бы совсем замечательно, но Network Policy это уже точно стандарт де-факто для сетевой безопасности в Kubernetes. Если вы не используете Network Policy, то считайте нет у вас и сетевой безопасности.