Container Service for Kubernetes:Expose services with ALB Ingress

Installer le contrôleur ALB Ingress

Créer une application exemple

L'application exemple déploie un Deployment nommé coffee et un Service correspondant nommé coffee-svc.

Créer un ALB Ingress

Configurez le nom de domaine et les mappages de chemins pour le ALB Ingress afin de router les requêtes destinées à ingress-demo.com/coffee vers le Service coffee-svc au sein du cluster.

Pour utiliser un ALB Ingress dans un ACK dedicated cluster , vous devez accorder des autorisations d'accès au contrôleur ALB Ingress .

Pourquoi un Ingress renvoie-t-il des codes d'erreur HTTP ?

Causes

• Erreur 503 (Service Temporarily Unavailable)

  • Aucune règle de routage correspondante : Le chemin de la requête ne correspond à aucune règle de routage configurée dans l'Ingress.

  • Aucun pod backend sain : Le Service associé ne dispose d'aucun pod prêt, ce qui entraîne un objet endpoints vide.

• Erreur 502 (Bad Gateway)

  Après qu'un écouteur HTTP ou HTTPS a reçu une demande de connexion client, l'ALB envoie un code d'état HTTP 502 Bad Gateway au client car il échoue à transférer la requête vers un Pod ou à recevoir une réponse du Pod.

• Erreur 404 (Not Found)

  Cela se produit généralement lorsqu'une requête correspond à une règle de routage Ingress, mais que son URL ne correspond pas au chemin du service de l'application dans le pod backend.

• Erreur 400 (Bad Request)

  Cela peut se produire pour plusieurs raisons, par exemple si vous envoyez une requête HTTP vers un écouteur HTTPS.

Pour plus d'informations sur les codes d'erreur HTTP, consultez la rubrique Codes d'état ALB .

Solution

1. Vérifiez l'état de l'Ingress : Exécutez la commande kubectl describe ingress <ingress-name> -n <namespace> et inspectez la section Events pour détecter des messages d'erreur. Si un événement tel que listener is not exist in alb apparaît, ajoutez la configuration d'écouteur requise à votre AlbConfig.

   ...
   Events:
     Type     Reason                  Age     From     Message
     ----     ------                  ----    ----     -------
     Warning  FailedBuildModel        ****    ingress  listener is not exist in alb, port: 443, protocol: HTTPS
     Warning  FailedBuildModel        ****    ingress  listener not found for (443/HTTPS), with ingresses 1
   ...

2. Vérifiez les endpoints backend : Exécutez la commande kubectl get endpoints <service-name> -n <namespace> pour confirmer que le champ ENDPOINTS répertorie au moins une adresse IP et un port de pod sain. S'il est vide, vérifiez que le selector du Service correspond aux labels des pods et que les pods sont dans l'état Running.

3. Vérifiez l'état et les journaux des pods : Exécutez kubectl get pod -l <app=your-app> -n <namespace> pour afficher l'état des pods. Ensuite, utilisez le nom du pod pour exécuter kubectl logs <pod-name> -n <namespace> et vérifiez les journaux de l'application pour détecter d'éventuels échecs de démarrage ou erreurs de traitement des requêtes.

4. Testez la connectivité réseau : Depuis un pod ou depuis un nœud, utilisez curl pour accéder au ClusterIP du service backend ou à une IP de pod afin de vérifier que le service est accessible au sein du cluster.

Pourquoi l'accès HTTPS est-il inaccessible après la configuration TLS ?

Causes

• L'instance ALB n'écoute pas sur le port 443 : Vous avez configuré TLS pour l'Ingress, mais l'écouteur HTTPS:443 correspondant n'a pas été créé.

• Configuration incorrecte du certificat : Le type de Secret n'est pas kubernetes.io/tls ou IngressTLS, ou le contenu de tls.crt et tls.key dans le champ data est incorrect ou ne correspond pas.

• Certificat obsolète : L'instance ALB utilise peut-être un ancien certificat. Cela se produit si vous mettez à jour un certificat dans Alibaba Cloud Certificate Management Service sans mettre à jour l'ID du certificat dans votre AlbConfig, ou si la découverte automatique et la réconciliation ne se déclenchent pas.

Solution

1. Vérifiez le port de l'écouteur : Exécutez la commande kubectl describe albconfig <alb-name> -n <namespace> pour vérifier que les configurations spec.listeners.port: 443 et spec.listeners.protocol: HTTPS sont présentes.

2. Vérifiez la configuration de l'Ingress : Assurez-vous que la configuration de l'Ingress inclut l'annotation alb.ingress.kubernetes.io/listen-ports: [{"HTTP": 80}, {"HTTPS": 443}]. Cette annotation associe l'Ingress aux écouteurs HTTP et HTTPS.

3. Vérifiez la configuration du Secret : Dans la configuration de l'Ingress, examinez le champ secretName de spec.tls pour confirmer que le Secret correct est référencé. Exécutez la commande kubectl get secret <secret-name> -n <namespace> -o yaml pour confirmer le type de Secret et l'intégrité des données.

Comment configurer la résolution de domaine pour un Ingress ?

1. Enregistrer un nom de domaine.

2. Ajouter un enregistrement CNAME.

   Par exemple, ajoutez un enregistrement DNS avec le type d'enregistrement CNAME , l'enregistrement hôte @ (qui représente le domaine racine, tel que ingress-demo.com ) et la valeur d'enregistrement correspondant à l'adresse de l'endpoint Ingress .

3. Dans un navigateur, accédez à http://ingress-demo.com/coffee pour vérifier que la résolution de nom de domaine fonctionne.

   Une fois l'accès réussi, une page de test NGINX est renvoyée, affichant des informations telles que l'Server address, le Server name, la Date et l'URI (avec la valeur /coffee) du pod backend. Cela indique que l'Ingress a correctement routé la requête vers le pod backend.

   Pour la vérification, remplacez l'exemple par votre nom de domaine enregistré. Si la résolution de nom de domaine échoue, consultez la rubrique Dépannage rapide des échecs de résolution de nom de domaine .

Comment configurer HTTPS pour un Ingress ?

1. Acheter un certificat officiel, et demander un certificat. Assurez-vous que le certificat que vous souhaitez utiliser est dans l'état Issued.

2. Télécharger le certificat SSL.

   Cet exemple montre comment télécharger le fichier de certificat au format PEM pour le domaine ingress-demo.com , avec le type de serveur défini sur Other .

3. Créez un Secret pour stocker le fichier de certificat.

   1. Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Configurations > Secrets.

   2. Sur la page Secrets, sélectionnez le namespace default puis cliquez sur Create à gauche. Ajoutez les configurations suivantes et cliquez sur OK.

      • Name : ingress-tls

      • Type : TLS Certificate

      • Certificates : Le contenu complet du fichier de certificat téléchargé et décompressé (.pem).

      • Key : Le contenu complet du fichier de clé privée téléchargé et décompressé (.key).

4. Mettez à jour l'AlbConfig pour ajouter un écouteur HTTPS:443 pour l'instance ALB.

   1. Dans le volet de navigation de gauche, choisissez Workloads > Custom Resources. Sous l'onglet Resource Objects, recherchez AlbConfig, puis cliquez sur le résultat de la recherche.

   2. Dans la liste des objets de ressource AlbConfig, repérez la ressource cible alb et cliquez sur Edit YAML dans la colonne Actions.

   3. Ajoutez les champs spec.listeners.port: 443 et spec.listeners.protocol: HTTPS, puis cliquez sur OK.

      spec:
          config:
            addressAllocatedMode: Fixed
            addressType: Internet
            zoneMappings:
              - vSwitchId: vsw-xxx
              - vSwitchId: vsw-xxx
          listeners:
            - port: 80
              protocol: HTTP
            - port: 443
              protocol: HTTPS

5. Mettez à jour l'Ingress pour ajouter une configuration TLS et l'associer à l'écouteur HTTPS:443.

   1. Dans le volet de navigation de gauche, choisissez Network > Ingresses. Dans la colonne Actions de l'Ingress cible, cliquez sur Update.

   2. Ajoutez les configurations suivantes et cliquez sur OK.

      • TLS Settings : Activé

      • Domain Name : ingress-demo.com

      • Secrets : ingress-tls

      • Annotations : alb.ingress.kubernetes.io/listen-ports: [{"HTTP": 80}, {"HTTPS": 443}]

6. Dans un navigateur, accédez à https://ingress-demo.com/coffee pour vérifier l'accès HTTPS.

   La page affiche le logo NGINX et les informations de réponse du serveur. L'Server address, le Server name et l'URI (avec la valeur /coffee) sont renvoyés comme prévu. Cela confirme que HTTPS est correctement configuré et que l'Ingress route les requêtes vers le pod backend coffee.

   Pour la vérification, remplacez l'exemple par votre nom de domaine enregistré.

Pour plus d'informations sur la configuration des certificats HTTPS, consultez la rubrique Configurer des certificats HTTPS pour une communication chiffrée.

Comment créer manuellement un AlbConfig et un IngressClass ?

Créer un AlbConfig

1. Connectez-vous à la console VPC et notez les ID d'au moins deux vSwitch situés dans différentes zones de disponibilité au sein du VPC où le cluster est déployé.

   Les zones de disponibilité des vSwitch configurés doivent être prises en charge par ALB. Pour plus d'informations, consultez la rubrique Régions et zones ALB .

2. Remplacez zoneMappings.vSwitchId dans le code suivant par les ID de vSwitch obtenus à l'étape précédente. Enregistrez le contenu dans un fichier nommé albconfig.yaml et exécutez kubectl apply -f albconfig.yaml pour créer l'AlbConfig.

   Pour des étapes plus détaillées, consultez la rubrique Créer un AlbConfig .

   apiVersion: alibabacloud.com/v1
   kind: AlbConfig
   metadata:
     name: alb # Do not create another AlbConfig resource with the same name.
   spec:
     config:
       name: alb-test
       addressType: Internet
       zoneMappings:
       - vSwitchId: vsw-****cg2a9g71hx8go**** # Replace with your actual vSwitch ID.
       - vSwitchId: vsw-****un9tql5t8nh15**** # Replace with your actual vSwitch ID.
     listeners:
       - port: 80
         protocol: HTTP

Créer un IngressClass

La ressource IngressClass associe un AlbConfig aux ressources Ingress. Lorsque vous spécifiez ingressClassName: alb dans un Ingress, celui-ci utilise l'AlbConfig défini dans l'IngressClass alb.

Enregistrez le contenu suivant dans un fichier nommé IngressClass.yaml, puis exécutez kubectl apply -f IngressClass.yaml pour créer l'IngressClass.

Le champ spec.parameters.name doit être défini sur le nom de l'AlbConfig. L'AlbConfig par défaut créé lors de l'installation du composant est nommé alb . Pour plus d'informations, consultez la rubrique Utiliser IngressClass pour associer un AlbConfig à un Ingress .

apiVersion: networking.k8s.io/v1
kind: IngressClass
metadata:
  name: alb
spec:
  controller: ingress.k8s.alibabacloud/alb
  parameters:
    apiGroup: alibabacloud.com
    kind: AlbConfig
    name: alb # This must match the name of the AlbConfig resource.