Container Service for Kubernetes:Expose services with ALB Ingress

Installer le contrôleur ALB Ingress

Créer une application exemple

L'application exemple déploie un Deployment nommé coffee et un Service correspondant nommé coffee-svc.

Créer un ALB Ingress

Configurez le nom de domaine et les mappages de chemin pour l'ALB Ingress afin de router les requêtes pour ingress-demo.com/coffee vers le Service coffee-svc au sein du cluster.

Pour utiliser un ALB Ingress dans un cluster dédié ACK , vous devez accorder des autorisations d'accès au contrôleur ALB Ingress .

Pourquoi un Ingress renvoie-t-il des codes d'erreur HTTP ?

Causes

• Erreur 503 (Service Temporarily Unavailable)

  • Aucune règle de routage correspondante : le chemin de la requête ne correspond à aucune règle de routage configurée dans l'Ingress.

  • Aucun pod backend sain : le Service associé ne dispose d'aucun pod prêt, ce qui entraîne un objet endpoints vide.

• Erreur 502 (Bad Gateway)

  Lorsqu'un écouteur HTTP ou HTTPS reçoit une demande de connexion client, ALB renvoie au client un code d'état HTTP 502 Bad Gateway, car il ne parvient pas à transférer la requête vers un Pod ou à recevoir une réponse de celui-ci.

• Erreur 404 (Not Found)

  Ce problème survient généralement lorsqu'une requête correspond à une règle de routage Ingress, mais que son URL ne correspond pas au chemin de service de l'application dans le pod backend.

• Erreur 400 (Bad Request)

  Plusieurs raisons peuvent expliquer cette erreur, comme l'envoi d'une requête HTTP vers un écouteur HTTPS.

Pour plus d'informations sur les codes d'erreur HTTP, consultez la rubrique Codes d'état ALB .

Solution

1. Vérifiez le statut de l'Ingress : exécutez la commande kubectl describe ingress <ingress-name> -n <namespace> et examinez la section Events pour repérer les messages d'erreur. Si un événement tel que listener is not exist in alb apparaît, ajoutez la configuration d'écouteur requise à votre AlbConfig.

   ...
   Events:
     Type     Reason                  Age     From     Message
     ----     ------                  ----    ----     -------
     Warning  FailedBuildModel        ****    ingress  listener is not exist in alb, port: 443, protocol: HTTPS
     Warning  FailedBuildModel        ****    ingress  listener not found for (443/HTTPS), with ingresses 1
   ...

2. Vérifiez les endpoints backend : exécutez la commande kubectl get endpoints <service-name> -n <namespace> pour confirmer que le champ ENDPOINTS répertorie au moins une adresse IP et un port de pod sain. S'il est vide, vérifiez que le selector du Service correspond aux labels des pods, et que les pods sont dans l'état Running.

3. Vérifiez le statut et les journaux des pods : exécutez kubectl get pod -l <app=your-app> -n <namespace> pour afficher le statut des pods. Ensuite, utilisez le nom du pod pour exécuter kubectl logs <pod-name> -n <namespace> et examinez les journaux de l'application afin d'identifier d'éventuels échecs de démarrage ou erreurs de traitement des requêtes.

4. Testez la connectivité réseau : depuis un pod ou depuis un nœud, utilisez curl pour accéder au ClusterIP du Service backend ou à l'adresse IP d'un pod, afin de vérifier que le service est accessible au sein du cluster.

Pourquoi l'accès HTTPS est-il impossible après la configuration TLS ?

Causes

• L'instance ALB n'écoute pas sur le port 443 : vous avez configuré TLS pour l'Ingress, mais l'écouteur HTTPS:443 correspondant n'a pas été créé.

• Configuration incorrecte du certificat : le type de Secret n'est pas kubernetes.io/tls ou IngressTLS, ou le contenu de tls.crt et tls.key dans le champ data est incorrect ou ne correspond pas.

• Certificat obsolète : l'instance ALB utilise peut-être un ancien certificat. Cela se produit si vous mettez à jour un certificat dans Alibaba Cloud Certificate Management Service sans mettre à jour l'ID du certificat dans votre AlbConfig, ou si la découverte automatique et la réconciliation ne se déclenchent pas.

Solution

1. Vérifiez le port de l'écouteur : exécutez la commande kubectl describe albconfig <alb-name> -n <namespace> pour vérifier que les configurations spec.listeners.port: 443 et spec.listeners.protocol: HTTPS sont présentes.

2. Vérifiez la configuration de l'Ingress : assurez-vous que la configuration de l'Ingress inclut l'annotation alb.ingress.kubernetes.io/listen-ports: [{"HTTP": 80}, {"HTTPS": 443}]. Cette annotation associe l'Ingress aux écouteurs HTTP et HTTPS.

3. Vérifiez la configuration du Secret : dans la configuration de l'Ingress, examinez le champ secretName de spec.tls pour confirmer que le bon Secret est référencé. Exécutez la commande kubectl get secret <secret-name> -n <namespace> -o yaml pour vérifier le type de Secret et l'intégrité des données.

Comment configurer la résolution de domaine pour l'Ingress ?

1. Enregistrer un nom de domaine.

2. Ajouter un enregistrement CNAME.

   Par exemple, ajoutez un enregistrement DNS avec le type d'enregistrement CNAME , l'enregistrement hôte @ (qui représente le domaine racine, tel que ingress-demo.com ), et la valeur d'enregistrement correspondant à l'adresse de l'endpoint Ingress .

3. Dans un navigateur, accédez à http://ingress-demo.com/coffee pour vérifier que la résolution de domaine fonctionne correctement.

   Une fois l'accès établi, une page de test NGINX s'affiche, présentant des informations telles que l'adresse du serveur, le nom du serveur, la date et l'URI (avec la valeur /coffee) du pod backend. Cela indique que l'Ingress a correctement routé la requête vers le pod backend.

   À des fins de vérification, remplacez l'exemple par votre nom de domaine enregistré. Si la résolution de domaine échoue, consultez la rubrique Dépannage rapide des échecs de résolution de nom de domaine .

Comment configurer HTTPS pour un Ingress ?

1. Acheter un certificat officiel, puis demander un certificat. Assurez-vous que le certificat souhaité est dans l'état Issued.

2. Télécharger le certificat SSL.

   Cet exemple illustre le téléchargement du fichier de certificat au format PEM pour le domaine ingress-demo.com , avec le type de serveur défini sur Other .

3. Créez un Secret pour stocker le fichier de certificat.

   1. Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Configurations > Secrets.

   2. Sur la page Secrets, sélectionnez le namespace default puis cliquez sur Create à gauche. Ajoutez les configurations suivantes et cliquez sur OK.

      • Name : ingress-tls

      • Type : Ingress TLS Certificate

      • Certificates : le contenu complet du fichier de certificat téléchargé et décompressé (.pem).

      • Key : le contenu complet du fichier de clé privée téléchargé et décompressé (.key).

4. Mettez à jour l'AlbConfig pour ajouter un écouteur HTTPS:443 à l'instance ALB.

   1. Dans le volet de navigation de gauche, choisissez Workloads > Custom Resources. Sous l'onglet Resource Objects, recherchez AlbConfig, puis cliquez sur le résultat de recherche.

   2. Dans la liste des objets de ressource AlbConfig, localisez la ressource cible alb et cliquez sur Edit YAML dans la colonne Actions.

   3. Ajoutez les champs spec.listeners.port: 443 et spec.listeners.protocol: HTTPS, puis cliquez sur OK.

      spec:
          config:
            addressAllocatedMode: Fixed
            addressType: Internet
            zoneMappings:
              - vSwitchId: vsw-xxx
              - vSwitchId: vsw-xxx
          listeners:
            - port: 80
              protocol: HTTP
            - port: 443
              protocol: HTTPS

5. Mettez à jour l'Ingress pour ajouter une configuration TLS et l'associer à l'écouteur HTTPS:443.

   1. Dans le volet de navigation de gauche, choisissez Network > Ingresses. Dans la colonne Actions de l'Ingress cible, cliquez sur Update.

   2. Ajoutez les configurations suivantes et cliquez sur OK.

      • TLS Settings : Activé

      • Domain Name : ingress-demo.com

      • Secrets : ingress-tls

      • Annotations : alb.ingress.kubernetes.io/listen-ports: [{"HTTP": 80}, {"HTTPS": 443}]

6. Dans un navigateur, accédez à https://ingress-demo.com/coffee pour vérifier l'accès HTTPS.

   La page affiche le logo NGINX et les informations de réponse du serveur. L'adresse du serveur, le nom du serveur et l'URI (avec la valeur /coffee) sont renvoyés comme prévu. Cela confirme que HTTPS est correctement configuré et que l'Ingress route les requêtes vers le pod backend coffee.

   À des fins de vérification, remplacez l'exemple par votre nom de domaine enregistré.

Pour plus d'informations sur la configuration des certificats HTTPS, consultez la rubrique Configurer des certificats HTTPS pour une communication chiffrée.

Comment créer manuellement AlbConfig et IngressClass ?

Créer un AlbConfig

1. Connectez-vous à la console VPC et notez les ID d'au moins deux vSwitch situés dans différentes zones de disponibilité au sein du VPC où le cluster est déployé.

   Les zones de disponibilité des vSwitch configurés doivent être prises en charge par ALB. Pour plus d'informations, consultez la rubrique Régions et zones ALB .

2. Remplacez zoneMappings.vSwitchId dans le code ci-dessous par les ID de vSwitch obtenus à l'étape précédente. Enregistrez le contenu dans un fichier nommé albconfig.yaml et exécutez kubectl apply -f albconfig.yaml pour créer l'AlbConfig.

   Pour des étapes plus détaillées, consultez la rubrique Créer un AlbConfig .

   apiVersion: alibabacloud.com/v1
   kind: AlbConfig
   metadata:
     name: alb # Do not create another AlbConfig resource with the same name.
   spec:
     config:
       name: alb-test
       addressType: Internet
       zoneMappings:
       - vSwitchId: vsw-****cg2a9g71hx8go**** # Replace with your actual vSwitch ID.
       - vSwitchId: vsw-****un9tql5t8nh15**** # Replace with your actual vSwitch ID.
     listeners:
       - port: 80
         protocol: HTTP

Créer un IngressClass

La ressource IngressClass associe un AlbConfig aux ressources Ingress. Lorsque vous spécifiez ingressClassName: alb dans un Ingress, celui-ci utilise l'AlbConfig défini dans l'IngressClass alb.

Enregistrez le contenu suivant dans un fichier nommé IngressClass.yaml, puis exécutez kubectl apply -f IngressClass.yaml pour créer l'IngressClass.

Le champ spec.parameters.name doit être défini sur le nom de l'AlbConfig. L'AlbConfig par défaut créé lors de l'installation du composant est nommé alb . Pour plus d'informations, consultez la rubrique Utiliser IngressClass pour associer un AlbConfig à un Ingress .

apiVersion: networking.k8s.io/v1
kind: IngressClass
metadata:
  name: alb
spec:
  controller: ingress.k8s.alibabacloud/alb
  parameters:
    apiGroup: alibabacloud.com
    kind: AlbConfig
    name: alb # This must match the name of the AlbConfig resource.