Container Service for Kubernetes:ALB Ingress を使用したサービスの公開

ALB Ingress Controller のインストール

サンプルアプリケーションの作成

このサンプルアプリケーションは、coffee という名前の Deployment と、coffee-svc という名前の対応する Service をデプロイします。

ALB Ingress の作成

ALB Ingress のドメイン名とパスマッピングを設定して、ingress-demo.com/coffee へのリクエストをクラスター内の coffee-svc Service にルーティングします。

ACK 専用クラスターで ALB Ingress を使用するには、ALB Ingress Controller にアクセス権限を付与する必要があります。

Ingress が HTTP エラーコードを返すのはなぜですか？

原因

• 503 (Service Temporarily Unavailable) エラー

  • 一致するルーティングルールがない：リクエストパスが Ingress で設定されたどのルーティングルールにも一致しません。

  • 正常なバックエンド Pod がない：関連付けられた Service に準備完了状態の Pod がなく、endpoints オブジェクトが空になります。

• 502 (Bad Gateway) エラー

  HTTP または HTTPS リスナーがクライアント接続リクエストを受信した後、ALB はリクエストを Pod に転送できないか、Pod からの応答を受信できないため、クライアントに HTTP 502 Bad Gateway ステータスコードを送信します。

• 404 (Not Found) エラー

  これは通常、リクエストが Ingress のルーティングルールに一致するものの、その URL がバックエンド Pod 内のアプリケーションのサービスパスと一致しない場合に発生します。

• 400 (Bad Request) エラー

  これは、HTTPS リスナーに HTTP リクエストを送信するなど、いくつかの理由で発生する可能性があります。

HTTP エラーコードの詳細については、「ALB のステータスコード」をご参照ください。

解決策

1. Ingress のステータスを確認する：kubectl describe ingress <ingress-name> -n <namespace> コマンドを実行し、Events セクションでエラーメッセージを確認します。listener is not exist in alb のようなイベントが表示された場合は、必要なリスナー設定を AlbConfig に追加します。

   ...
   Events:
     Type     Reason                  Age     From     Message
     ----     ------                  ----    ----     -------
     Warning  FailedBuildModel        ****    ingress  listener is not exist in alb, port: 443, protocol: HTTPS
     Warning  FailedBuildModel        ****    ingress  listener not found for (443/HTTPS), with ingresses 1
   ...

2. バックエンドエンドポイントを確認する：kubectl get endpoints <service-name> -n <namespace> コマンドを実行して、ENDPOINTS フィールドに少なくとも 1 つの正常な Pod の IP アドレスとポートがリストされていることを確認します。空の場合は、Service の selector が Pod の labels と一致していること、および Pod が Running 状態であることを確認します。

3. Pod のステータスとログを確認する：kubectl get pod -l <app=your-app> -n <namespace> を実行して Pod のステータスを表示します。次に、Pod 名を使用して kubectl logs <pod-name> -n <namespace> を実行し、アプリケーションログで起動の失敗やリクエスト処理のエラーを確認します。

4. ネットワーク接続のテスト: Pod 内またはノードから、curl を使用してバックエンドサービスの ClusterIP または Pod IP にアクセスし、サービスがクラスター内で到達可能であることを確認します。

TLS 設定後に HTTPS にアクセスできないのはなぜですか？

原因

• ALB インスタンスがポート 443 をリッスンしていない：Ingress に TLS を設定しましたが、対応する HTTPS:443 リスナーが作成されていません。

• 証明書の設定が正しくない：Secret タイプが kubernetes.io/tls または IngressTLS ではない、または data フィールドの tls.crt と tls.key の内容が正しくないか、一致していません。

• 古い証明書：ALB インスタンスが古い証明書を使用している可能性があります。これは、Alibaba Cloud Certificate Management Service で証明書を更新したものの、AlbConfig で証明書 ID を更新しなかった場合、または自動検出と調整がトリガーされなかった場合に発生します。

解決策

1. リスナーポートを確認する：kubectl describe albconfig <alb-name> -n <namespace> コマンドを実行して、spec.listeners.port: 443 および spec.listeners.protocol: HTTPS の設定が存在することを確認します。

2. Ingress 設定を確認する：Ingress 設定に alb.ingress.kubernetes.io/listen-ports: [{"HTTP": 80}, {"HTTPS": 443}] アノテーションが含まれていることを確認します。このアノテーションは、Ingress を HTTP および HTTPS リスナーに関連付けます。

3. Secret 設定を確認する：Ingress 設定で、spec.tls の secretName フィールドを確認し、正しい Secret が参照されていることを確認します。kubectl get secret <secret-name> -n <namespace> -o yaml コマンドを実行して、Secret のタイプとデータ整合性を確認します。

Ingress ドメインの名前解決を設定する方法

1. ドメイン名を登録。

2. CNAME レコードを追加します。

   たとえば、レコードタイプ CNAME、ホストレコード @ (ルートドメイン、たとえば ingress-demo.com を表す)、およびレコード値を Ingress エンドポイントアドレスとして DNS レコードを追加します。

3. ブラウザで http://ingress-demo.com/coffee にアクセスし、ドメイン名の名前解決が機能していることを確認します。

   アクセスが成功すると、NGINX テストページが返され、バックエンド Pod の Server address、Server name、Date、および URI (値は /coffee) などの情報が表示されます。これは、Ingress がリクエストをバックエンド Pod に正しくルーティングしたことを示します。

   検証には、例を登録済みのドメイン名に置き換えてください。ドメイン名の名前解決が失敗した場合は、「ドメイン名解決の失敗に関するクイックトラブルシューティング」をご参照ください。

Ingress の HTTPS を設定する方法

1. 公式証明書を購入するを申請します。使用したい証明書が 発行済み 状態であることを確認してください。

2. SSL 証明書をダウンロードします。

   この例では、サーバータイプを [その他] に設定して、ingress-demo.com

3. 証明書ファイルを保存するための Secret を作成します。

   1. クラスターリスト ページで、対象クラスターの名前をクリックします。左側のナビゲーションウィンドウで、設定 > シークレット をクリックします。

   2. シークレット ページで、default 名前空間を選択し、左側の 作成する をクリックします。次の構成を追加し、OK をクリックします。

      • 名前：ingress-tls

      • タイプ： TLS 証明書

      • 証明書：ダウンロードして解凍した証明書ファイル (.pem) の全内容。

      • キー：ダウンロードして解凍した秘密鍵ファイル (.key) の全内容。

4. AlbConfig を更新して、ALB インスタンスに HTTPS:443 リスナーを追加します。

   1. 左側のナビゲーションウィンドウで、ワークロード > カスタムリソース を選択します。リソースオブジェクト タブで AlbConfig を検索し、検索結果をクリックします。

   2. AlbConfig リソースオブジェクトのリストで、ターゲットリソース alb を見つけ、アクション 列の YAML の編集 をクリックします。

   3. spec.listeners.port: 443 および spec.listeners.protocol: HTTPS フィールドを追加し、OK をクリックします。

      spec:
          config:
            addressAllocatedMode: Fixed
            addressType: Internet
            zoneMappings:
              - vSwitchId: vsw-xxx
              - vSwitchId: vsw-xxx
          listeners:
            - port: 80
              protocol: HTTP
            - port: 443
              protocol: HTTPS

5. Ingress を更新して TLS 設定を追加し、HTTPS:443 リスナーに関連付けます。

   1. 左側のナビゲーションウィンドウで、ネットワーク > Ingress を選択します。ターゲット Ingress の アクション 列で、更新 をクリックします。

   2. 次の設定を追加し、OK をクリックします。

      • TLS 設定：有効

      • ドメイン名：ingress-demo.com

      • シークレット： ingress-tls

      • 注釈：alb.ingress.kubernetes.io/listen-ports: [{"HTTP": 80}, {"HTTPS": 443}]

6. ブラウザで https://ingress-demo.com/coffee にアクセスし、HTTPS アクセスを確認します。

   ページには NGINX のロゴとサーバーの応答情報が表示されます。Server address、Server name、および URI (値は /coffee) が期待どおりに返されます。これにより、HTTPS が正しく設定され、Ingress がリクエストを coffee バックエンド Pod にルーティングしていることが確認できます。

   検証には、例を登録済みのドメイン名に置き換えてください。

HTTPS 証明書の設定方法の詳細については、「暗号化通信のための HTTPS 証明書の設定」をご参照ください。

AlbConfig と IngressClass を手動で作成する方法

AlbConfig の作成

1. VPC コンソールにログインし、クラスターがデプロイされている VPC 内の異なるアベイラビリティーゾーンにある少なくとも 2 つの vSwitch の ID を記録します。

   設定された vSwitch のアベイラビリティーゾーンは、ALB でサポートされている必要があります。詳細については、「ALB のリージョンとゾーン」をご参照ください。

2. 次のコードの zoneMappings.vSwitchId を前のステップで取得した vSwitch ID に置き換えます。内容を albconfig.yaml という名前のファイルに保存し、kubectl apply -f albconfig.yaml を実行して AlbConfig を作成します。

   より詳細な手順については、「AlbConfig の作成」をご参照ください。

   apiVersion: alibabacloud.com/v1
   kind: AlbConfig
   metadata:
     name: alb # 同じ名前の別の AlbConfig リソースを作成しないでください。
   spec:
     config:
       name: alb-test
       addressType: Internet
       zoneMappings:
       - vSwitchId: vsw-****cg2a9g71hx8go**** # 実際の vSwitch ID に置き換えてください。
       - vSwitchId: vsw-****un9tql5t8nh15**** # 実際の vSwitch ID に置き換えてください。
     listeners:
       - port: 80
         protocol: HTTP

IngressClass の作成

IngressClass リソースは、AlbConfig を Ingress リソースに関連付けます。Ingress で ingressClassName: alb を指定すると、alb IngressClass で定義された AlbConfig が使用されます。

次の内容を IngressClass.yaml という名前のファイルに保存し、kubectl apply -f IngressClass.yaml を実行して IngressClass を作成します。

spec.parameters.name フィールドは、AlbConfig の名前に設定する必要があります。コンポーネントをインストールするときに作成されるデフォルトの AlbConfig の名前は alb です。詳細については、「IngressClass を使用して AlbConfig を Ingress に関連付ける」をご参照ください。

apiVersion: networking.k8s.io/v1
kind: IngressClass
metadata:
  name: alb
spec:
  controller: ingress.k8s.alibabacloud/alb
  parameters:
    apiGroup: alibabacloud.com
    kind: AlbConfig
    name: alb # これは AlbConfig リソースの名前と一致する必要があります。