Container Service for Kubernetes:高負荷シナリオでの NGINX Ingress コントローラーのインストール

パラメーターの説明

次の表に、ConfigMap の主要なパラメーターを示します。

ログの自動ローテーションの構成

デフォルトでは、NGINX Ingress コントローラーポッドは /dev/stdout にログを記録します。ログファイルが大きくなるにつれて、新しいログを記録するためにより多くのリソースが消費されます。ログを定期的にローテーションすることで、ログ記録のリソース消費量を削減できます。この方法では、特定の期間のログを別のファイルに保存し、元のログレコードをクリアします。

1. SSH を使用して、NGINX Ingress コントローラーポッドがデプロイされている ECS ノードにログオンします。詳細については、「SSH キーペアを使用して Linux インスタンスに接続する」をご参照ください。

2. nginx-log-rotate.sh ファイルを /root ディレクトリに追加します。

   Containerd ノード

   #!/bin/bash
   # 保持されるログファイルの最大数を指定します。必要に応じて数を変更できます。
   keep_log_num=5
   
   # 実行中のすべての ingress-nginx コンテナーの ID を取得します
   ingress_nginx_container_ids=$(crictl ps | grep nginx-ingress-controller | grep -v pause | awk '{print $1}')
   if [[ -z "$ingress_nginx_container_ids" ]]; then
    echo "error: ingress nginx container ids の取得に失敗しました"
    exit 1
   fi
   
   # NGINX Ingress コントローラーポッドを 5 ～ 10 秒のランダムな長さの期間スリープさせます。
   sleep $(( RANDOM % (10 - 5 + 1 ) + 5 ))
   for id in $ingress_nginx_container_ids; do
    crictl exec $id bash -c "cd /var/log/nginx; if [[ \$(ls access.log-* | wc -l) -gt $keep_log_num ]]; then rm -f \$(ls -t access.log-* | tail -1); fi ; mv access.log access.log-\$(date +%F:%T) ; kill -USR1 \$(cat /tmp/nginx/nginx.pid)"
   done	
   

   Docker ノード

   #!/bin/bash
   # 保持されるログファイルの最大数を指定します。必要に応じて数を変更できます。
   keep_log_num=5
   
   # 実行中のすべての ingress-nginx コンテナーの ID を取得します
   ingress_nginx_container_ids=$(docker ps | grep nginx-ingress-controller | grep -v pause | awk '{print $1}')
   if [[ -z "$ingress_nginx_container_ids" ]]; then
    echo "error: ingress nginx container ids の取得に失敗しました"
    exit 1
   fi
   
   # NGINX Ingress コントローラーポッドを 5 ～ 10 秒のランダムな長さの期間スリープさせます。
   sleep $(( RANDOM % (10 - 5 + 1 ) + 5 ))
   for id in $ingress_nginx_container_ids; do
    docker exec $id bash -c "cd /var/log/nginx; if [[ \$(ls access.log-* | wc -l) -gt $keep_log_num ]]; then rm -f \$(ls -t access.log-* | tail -1); fi ; mv access.log access.log-\$(date +%F:%T) ; kill -USR1 \$(cat /tmp/nginx/nginx.pid)"
   done	
   	

3. 次のコマンドを実行して、nginx-log-rotate.sh ファイルに実行権限を追加します。

   chmod 755 /root/nginx-log-rotate.sh

4. /etc/crontab ファイルの末尾に次のコンテンツを追加します。

   */15 * * * *  root /root/nginx-log-rotate.sh

   説明

   この例では、Cron 式を使用して 15 分ごとにログをローテーションします。必要に応じて頻度を調整できます。

brotli 圧縮の有効化

データ圧縮は追加の CPU 時間を消費しますが、圧縮されたデータパケットは帯域幅の使用量を削減し、ネットワークスループットを向上させます。 Brotli は、Google によって開発されたオープンソースの圧縮アルゴリズムです。一般的に使用される gzip 圧縮アルゴリズム ( デフォルトで NGINX Ingress コントローラーによって使用されます ) と比較して、Brotli は通常、Web リソースなどのテキストデータで 15 ～ 30% 高い圧縮率を実現します。ただし、具体的な改善はシナリオの詳細によって異なります。 NGINX Ingress コントローラーで Brotli 圧縮を有効にするには、次のパラメーターを構成する必要があります。

• enable-brotli: Brotli 圧縮アルゴリズムを有効にするかどうかを指定します。有効な値: true および false 。

• brotli-level: 圧縮レベル。有効な値: 1 ～ 11 。デフォルト値: 4 。圧縮レベルが高いほど、より多くの CPU リソースが必要になります。

• brotli-types: Brotli リアルタイム圧縮が使用される Multipurpose Internet Mail Extensions ( MIME ) タイプ。

ConfigMap に次の構成を追加することで、Brotli 圧縮を有効にできます。

data:
  enable-brotli: "true"
  brotli-level: "6"
  brotli-types: "text/xml image/svg+xml application/x-font-ttf image/vnd.microsoft.icon application/x-font-opentype application/json font/eot application/vnd.ms-fontobject application/javascript font/otf application/xml application/xhtml+xml text/javascript application/x-javascript text/plain application/x-font-truetype application/xml+rss image/x-icon font/opentype text/css image/x-win-bitmap"

HTTPS パフォーマンスの最適化

NGINX Ingress コントローラーの HTTPS パフォーマンスを向上させるには、SSL セッションキャッシュ、OCSP ステープリング、TLS 1.3 early data 、暗号スイートの優先順位などのパラメーターを構成できます。

• SSL セッションキャッシュとタイムアウト

  SSL 共有セッションキャッシュのサイズと、キャッシュに保存されているセッションを再利用する期間を設定することで、SSL ハンドシェイクのオーバーヘッドを削減できます。

  • ConfigMap 構成:

    data:
      ssl-session-cache-size："10m"
      ssl-session-timeout："10m"

  • NGINX 側の対応する nginx.conf 構成。ビジネス要件に基づいて構成を調整できます。

    ssl_session_cache shared:SSL:120m;   # 1m に 4,000 セッションを保存できます。
    ssl_session_timeout 1h;              # セッションタイムアウト期間は 1 時間です。

• OCSP ステープリングの有効化

  OCSP ステープリングは、クライアント証明書の検証に必要な時間を短縮します。

  data:
    enable-ocsp: "true"

• TLS 1.3 early data ( 0-RTT ) のサポート

  TLS 1.3 early data 機能 ( zero round trip-time ( 0-RTT ) とも呼ばれます ) を使用すると、クライアントはハンドシェイクが完了する前にデータを送信できます。これにより、応答時間が短縮されます。

  data:
    ssl-early-data: "true"
    ssl-protocols: "TLSv1.3"

• 暗号スイートの優先順位の変更 ( 手動以外 )

  暗号スイートの優先順位を変更して、ネットワーク遅延を減らすことができます。 ACK は、NGINX Ingress コントローラー構成の暗号スイートの優先順位を最適化しています。

  ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
  ssl_prefer_server_ciphers on;    # サーバー側の暗号構成を優先します。