Container Service for Kubernetes:Tingkatkan NGINX Ingress controller

Perubahan konfigurasi keamanan default

Versi yang terpengaruh: Versi sebelum v1.12.6-release.1.

Mulai v1.12.6-release.1, ingress-nginx memperketat pengaturan keamanan default, termasuk:

• Tingkat default annotations-risk-level diturunkan dari Critical ke High. Perubahan ini membuat sumber daya Ingress yang ada dengan anotasi tingkat Critical, seperti anotasi terkait snippet, tidak tersedia.

• allow-cross-namespace-resources diubah dari true ke false. Konfigurasi ini menonaktifkan referensi lintas-namespace untuk sumber daya seperti ConfigMap dan Secrets secara default.

• strict-validate-path-type diubah dari false ke true. Konfigurasi ini mengaktifkan validasi path ketat secara default. Artinya, untuk path bertipe Exact dan Prefix, hanya path yang dimulai dengan / dan hanya berisi huruf, angka, -, _, ., dan tambahan / yang diizinkan.

Jika Anda menggunakan fitur yang diblokir oleh pengaturan keamanan ini, aktifkan secara manual di ConfigMap kube-system/nginx-configuration setelah menilai risiko keamanannya.

Validasi native NGINX dinonaktifkan secara default

Versi yang terpengaruh: Versi sebelum v1.11.5-aliyun.1.

Untuk memperbaiki CVE-2025-1974, NGINX Ingress controller menonaktifkan validasi native NGINX (logika nginx -t) secara default mulai v1.11.5-aliyun.1. Webhook validasi tetap diaktifkan tetapi tidak memvalidasi aturan berbasis snippet; hanya anotasi non-snippet yang divalidasi secara default. Untuk aturan snippet, periksa log error runtime NGINX. Lihat Pengumuman Kerentanan CVE-2023-1097, CVE-2023-1098, CVE-2023-1974, CVE-2023-24513, CVE-2023-24514.

Jika Anda menggunakan anotasi snippet, periksa log Pod NGINX Ingress untuk entri terkait Error setiap kali Anda mengubah aturan Ingress terkait:

kubectl logs -f <Nginx-ingress-pod-name> -n kube-system |grep Error

Untuk mengaktifkan kembali validasi native NGINX, tambahkan enable-nginx-native-validation: "true" ke ConfigMap kube-system/nginx-configuration setelah sepenuhnya menilai risikonya.

Anotasi snippet dinonaktifkan secara default

Versi yang terpengaruh: Versi sebelum v1.9.3-aliyun.1.

Karena alasan keamanan, NGINX Ingress controller menonaktifkan semua anotasi snippet secara default mulai v1.9.3-aliyun.1, termasuk:

• nginx.ingress.kubernetes.io/configuration-snippet

• nginx.ingress.kubernetes.io/server-snippet

• nginx.ingress.kubernetes.io/stream-snippet

• nginx.ingress.kubernetes.io/auth-snippet

• nginx.ingress.kubernetes.io/modsecurity-snippet

Karena risiko keamanan dan stabilitas, lebih baik gunakan anotasi alternatif atau opsi konfigurasi lain.

Untuk menggunakan anotasi snippet, tambahkan allow-snippet-annotations: "true" ke ConfigMap kube-system/nginx-configuration setelah sepenuhnya menilai risikonya.

Versi TLS lawas tidak didukung

Versi yang terpengaruh: Versi sebelum v1.7.0-aliyun.1.

Karena masalah keamanan pada TLS 1.1 dan versi sebelumnya, versi NGINX Ingress baru tidak lagi mendukung TLS v1.1 dan TLS v1.0 secara default. Sebelum meningkatkan, pastikan layanan Anda tidak bergantung pada TLS v1.1 atau versi sebelumnya dan hapus dari konfigurasi Anda. Perubahan ConfigMap berlaku segera.

Misalnya, jika ConfigMap (kube-system/nginx-configuration) untuk NGINX Ingress controller dikonfigurasi sebagai berikut:

ssl-protocols: SSLv3 SSLv2 TLSv1 TLSv1.1 TLSv1.2 TLSv1.3

Setelah memastikan layanan Anda tidak terpengaruh, hapus baris ini untuk menggunakan nilai default, atau hapus SSLv3, SSLv2, TLSv1, dan TLSv1.1 serta ubah baris menjadi:

ssl-protocols: TLSv1.2 TLSv1.3

Untuk menerapkan metode enkripsi TLS lama, lihat Versi SSL/TLS apa saja yang didukung oleh Ingress?.

Penggunaan nginx.ingress.kubernetes.io/rewrite-target yang tidak kompatibel

Versi yang terpengaruh: Versi sebelum 0.22.0.

• Versi 0.22.0 mengubah penggunaan anotasi nginx.ingress.kubernetes.io/rewrite-target. Pada versi 0.22.0 dan seterusnya, Anda harus secara eksplisit menentukan grup tangkapan saat menggunakan rewrite-target.

• Perilaku rewrite-target sebelum 0.22.0 tidak kompatibel dengan versi saat ini. Sebelum meningkatkan, gunakan anotasi configuration-snippet sebagai ganti rewrite-target.

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
  name: rewrite
  namespace: default
spec:
  rules:
  - host: rewrite.bar.com
    http:
      paths:
      - path: /something/
        pathType: Prefix
        backend:
          service:
            name: http-svc
            port:
              number: 80
      - path: /something123/
        pathType: Prefix
        backend:
          service:
            name: http-svc-1
            port:
              number: 80

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    # Gunakan direktif rewrite, di mana /something adalah path di bidang path (tanpa garis miring di akhir).
    # Jika Ingress berisi beberapa path, diperlukan beberapa direktif rewrite.
    nginx.ingress.kubernetes.io/configuration-snippet: |
      rewrite "(?i)/something(/|$)(.*)" /$2 break;
      rewrite "(?i)/something123(/|$)(.*)" /$2 break;
  name: rewrite
  namespace: default
spec:
  rules:
  - host: rewrite.bar.com
    http:
      paths:
      - path: /something/ # Pertahankan path konsisten dengan sumber daya Ingress lama.
        pathType: Prefix
        backend:
          service:
            name: http-svc
            port:
              number: 80
      - path: /something123/ # Pertahankan path konsisten dengan sumber daya Ingress lama.
        pathType: Prefix
        backend:
          service:
            name: http-svc-1
            port:
              number: 80

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    # Referensikan konten yang cocok.
    nginx.ingress.kubernetes.io/rewrite-target: /$2
  name: rewrite
  namespace: default
spec:
  rules:
  - host: rewrite.bar.com
    http:
      paths:
      # Gunakan grup tangkapan.
      - path: /something(/|$)(.*)
        pathType: Prefix
        backend:
          service:
            name: http-svc
            port:
              number: 80
      # Gunakan grup tangkapan.
      - path: /something123(/|$)(.*)
        pathType: Prefix
        backend:
          service:
            name: http-svc-1
            port:
              number: 80

  apiVersion: extensions/v1beta1
  kind: Ingress
  metadata:
    labels:
      ingress-controller: nginx
    name: test
    namespace: default
  spec:
    ingressClassName: nginx
    rules:
    - host: www.example.com
      http:
        paths:
        - backend:
            service:
              name: api-resources-svc
              port:
                number: 8080
          path: /api/resource

data:
  use-gzip: true

Verifikasi status komponen dan layanan

Selain alat pemantauan Anda sendiri, ACK menyediakan log Simple Log Service, dasbor Managed Service for Prometheus, dan log kontainer native untuk memantau NGINX Ingress. Untuk mengaktifkannya, lihat Kumpulkan dan analisis log akses NGINX Ingress dan Hubungkan dan konfigurasi Managed Service for Prometheus.

Apakah saya dapat meningkatkan NGINX Ingress controller ke versi tertentu? Dapatkah saya melakukan rollback ke versi sebelumnya setelah peningkatan berhasil?

NGINX Ingress controller tidak mendukung peningkatan ke versi tertentu. Peningkatan dilakukan secara bertahap ke versi terbaru. Anda tidak dapat melakukan rollback setelah peningkatan berhasil.

Apa yang harus saya lakukan jika Pod gagal dibuat selama tahap verifikasi atau rilis?

Apa yang harus saya lakukan jika pemeriksaan templat Deployment gagal?

Jika templat Deployment gagal dalam pemeriksaan awal, klik tautan di samping Cause of Error untuk membuka halaman perbedaan komponen dan melihat bidang yang gagal.

1. Di halaman NGINX Ingress Controller Upgrade, di bawah Precheck, klik View Details.

2. Di halaman Check Report, di bagian Cluster Component Check Results, klik kotak merah di ① untuk melihat hasil pemeriksaan. Kemudian, di halaman Check Result, klik Deployment Template, lalu klik tautan di samping Cause of Error di ②.

   

3. Buka halaman Component Differences untuk melihat bidang yang gagal dalam pemeriksaan.

   Halaman perbedaan komponen membandingkan templat standar untuk versi ini (kiri) dengan templat kluster saat ini (kanan), menyoroti perbedaan yang kompatibel dan tidak kompatibel. Halaman ini juga menunjukkan apakah komponen kluster lulus pemeriksaan perbedaan dan mencantumkan jalur bidang yang tidak kompatibel.

   Dalam contoh di bawah, bidang yang berbeda adalah .spec.template.spec.containers.(nginx-ingress-controller).args (tanda kurung menunjukkan nama elemen array). Perbandingan menunjukkan --v=2 dalam args berubah menjadi --v=3, yang harus diperbaiki sebelum peningkatan.

   

4. Modifikasi bidang yang berbeda.

   Pilih Workloads > Deployments, temukan komponen NGINX Ingress controller, lalu pilih More > View YAML. Di halaman Edit YAML, ubah --v=3 menjadi --v=2 di bidang args.

5. Setelah memodifikasi bidang tersebut, muat ulang halaman perbedaan komponen. Saat halaman menampilkan The component can pass the difference check, pemeriksaan templat Deployment akan lulus.

   Catatan

   Memodifikasi Deployment kluster akan me-restart Pod NGINX Ingress. Lakukan ini selama jam sepi.