Container Service for Kubernetes:Kamus konfigurasi Nginx Ingress

Edit ConfigMap

kubectl edit cm -n kube-system nginx-configuration

Konfigurasi default

ConfigMap berikut menunjukkan nilai default ACK. Bidang yang tidak tercantum mewarisi nilai default upstream ingress-nginx.

apiVersion: v1
kind: ConfigMap
metadata:
  name: nginx-configuration
  namespace: <namespace>    # Default: kube-system
  labels:
    app: ingress-nginx
data:
  log-format-upstream: '$remote_addr - [$remote_addr] - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $request_length $request_time [$proxy_upstream_name] $upstream_addr $upstream_response_length $upstream_response_time $upstream_status $req_id $host [$proxy_alternative_upstream_name]'
  proxy-body-size: 20m
  proxy-connect-timeout: "10"
  max-worker-connections: "65536"
  enable-underscores-in-headers: "true"
  reuse-port: "true"
  worker-cpu-affinity: "auto"
  server-tokens: "false"
  ssl-redirect: "false"
  allow-backend-server-header: "true"
  ignore-invalid-headers: "true"
  generate-request-id: "true"
  upstream-keepalive-timeout: "900"

Deskripsi bidang

Load balancing

Contoh: consistent hashing berdasarkan URI permintaan

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-test
  namespace: default
  annotations:
    nginx.ingress.kubernetes.io/upstream-hash-by: "$request_uri"
spec:
  ingressClassName: nginx
  rules:
    - host: example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: <your-service-name>
                port:
                  number: <your-service-port>

Untuk kluster Kubernetes versi sebelum 1.22, gunakan apiVersion: networking.k8s.io/v1beta1 dan bidang serviceName/servicePort di bawah backend.

Afinitas cookie

Contoh: afinitas sesi berbasis cookie

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: nginx-test
  annotations:
    nginx.ingress.kubernetes.io/affinity: "cookie"
    nginx.ingress.kubernetes.io/session-cookie-name: "route"
    nginx.ingress.kubernetes.io/session-cookie-expires: "172800"
    nginx.ingress.kubernetes.io/session-cookie-max-age: "172800"
spec:
  ingressClassName: nginx
  rules:
    - host: stickyingress.example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: http-svc
                port:
                  number: 80

Pengalihan

Contoh: pengalihan permanen dari `foo.com` ke `bar.com`

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-nginx
  annotations:
    kubernetes.io/ingress.class: "nginx"
    nginx.ingress.kubernetes.io/permanent-redirect: "https://bar.com"
spec:
  ingressClassName: nginx
  rules:
    - host: foo.com
      http:
        paths:
          - path: "/"
            pathType: ImplementationSpecific
            backend:
              service:
                name: httpbin
                port:
                  number: 8000

Menulis ulang

Contoh: menulis ulang header `Host` menjadi `test.com` untuk permintaan ke `example.com/test`

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: demo
  annotations:
    nginx.ingress.kubernetes.io/upstream-vhost: "test.com"
spec:
  ingressClassName: nginx
  rules:
    - host: example.com
      http:
        paths:
          - path: /test
            pathType: ImplementationSpecific
            backend:
              service:
                name: demo-service
                port:
                  number: 80

Pembatasan kecepatan

Batasi laju permintaan dan koneksi bersamaan per IP klien untuk melindungi layanan backend dari lonjakan lalu lintas.

Contoh: pembatasan laju dengan daftar putih IP

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-nginx
  annotations:
    kubernetes.io/ingress.class: "nginx"
    nginx.ingress.kubernetes.io/limit-rate: "100K"
    nginx.ingress.kubernetes.io/limit-rps: "1"
    nginx.ingress.kubernetes.io/limit-rpm: "30"
    nginx.ingress.kubernetes.io/limit-whitelist: "10.1.10.100"
spec:
  ingressClassName: nginx
  rules:
    - host: example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: backend-svc
                port:
                  number: 80

Fallback

Arahkan lalu lintas ke layanan cadangan saat backend utama tidak tersedia.

Rilis canary

Terapkan rilis canary dan penyebaran biru-hijau. Lihat Gunakan controller NGINX Ingress untuk menerapkan rilis canary dan penyebaran biru-hijau.

Timeout

kubectl edit cm -n kube-system nginx-configuration

CORS

Aktifkan Berbagi Sumber Daya Lintas Asal (CORS) untuk permintaan browser. Lihat Konfigurasi CORS pada NGINX Ingress.

Kebijakan retry

Kontrol akses berbasis alamat IP

Contoh: izinkan hanya alamat IP tertentu

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-nginx
  annotations:
    kubernetes.io/ingress.class: "nginx"
    nginx.ingress.kubernetes.io/whitelist-source-range: "10.1.10.2"
spec:
  ingressClassName: nginx
  rules:
    - host: example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: backend-svc
                port:
                  number: 80

Untuk menerapkan secara global, atur whitelist-source-range di ConfigMap nginx-configuration.

Mirror lalu lintas

Duplikasi permintaan produksi ke lingkungan shadow untuk pengujian tanpa memengaruhi lalu lintas langsung. Lihat Gunakan controller Ingress untuk mencerminkan lalu lintas jaringan.

Proteksi keamanan

Konfigurasikan enkripsi TLS antara klien dan controller NGINX Ingress, serta antara controller dan layanan backend. Lihat Enkripsi controller NGINX Ingress.

Otentikasi keamanan

Batasi akses dengan Otentikasi Dasar. Hanya permintaan yang terotentikasi yang mencapai layanan backend.

Siapkan Otentikasi Dasar

1. Buat file password dengan htpasswd:

   htpasswd -c auth joker

   Verifikasi file tersebut:

   cat auth
   # Expected output: joker:$apr1$R.G4krs/$hh0mX8xe4A3lYKMjvlVs1/

2. Buat Secret dari file password:

   kubectl create secret generic basic-auth --from-file=auth

3. Tambahkan anotasi ke Ingress Anda:

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: ingress-nginx
     annotations:
       kubernetes.io/ingress.class: "nginx"
       nginx.ingress.kubernetes.io/auth-type: basic
       nginx.ingress.kubernetes.io/auth-secret: basic-auth
   spec:
     ingressClassName: nginx
     rules:
       - host: example.com
         http:
           paths:
             - path: /
               pathType: Prefix
               backend:
                 service:
                   name: backend-svc
                   port:
                     number: 80