Container Service for Kubernetes:Nginx Ingress 設定ディクショナリ

ConfigMap の編集

kubectl edit cm -n kube-system nginx-configuration

デフォルト設定

以下の ConfigMap は、Container Service for Kubernetes (ACK) のデフォルト値を示しています。記載されていないフィールドは、アップストリームの ingress-nginx のデフォルト値を継承します。

apiVersion: v1
kind: ConfigMap
metadata:
  name: nginx-configuration
  namespace: <namespace>    # デフォルト: kube-system
  labels:
    app: ingress-nginx
data:
  log-format-upstream: '$remote_addr - [$remote_addr] - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $request_length $request_time [$proxy_upstream_name] $upstream_addr $upstream_response_length $upstream_response_time $upstream_status $req_id $host [$proxy_alternative_upstream_name]'
  proxy-body-size: 20m
  proxy-connect-timeout: "10"
  max-worker-connections: "65536"
  enable-underscores-in-headers: "true"
  reuse-port: "true"
  worker-cpu-affinity: "auto"
  server-tokens: "false"
  ssl-redirect: "false"
  allow-backend-server-header: "true"
  ignore-invalid-headers: "true"
  generate-request-id: "true"
  upstream-keepalive-timeout: "900"

フィールドの説明

ロードバランシング

例：リクエスト URI による一貫性ハッシュ

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-test
  namespace: default
  annotations:
    nginx.ingress.kubernetes.io/upstream-hash-by: "$request_uri"
spec:
  ingressClassName: nginx
  rules:
    - host: example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: <your-service-name>
                port:
                  number: <your-service-port>

Kubernetes クラスター 1.22 より前のバージョンでは、apiVersion: networking.k8s.io/v1beta1 と、backend の下にある serviceName/servicePort フィールドを使用してください。

Cookie アフィニティ

例：Cookie ベースのセッションアフィニティ

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: nginx-test
  annotations:
    nginx.ingress.kubernetes.io/affinity: "cookie"
    nginx.ingress.kubernetes.io/session-cookie-name: "route"
    nginx.ingress.kubernetes.io/session-cookie-expires: "172800"
    nginx.ingress.kubernetes.io/session-cookie-max-age: "172800"
spec:
  ingressClassName: nginx
  rules:
    - host: stickyingress.example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: http-svc
                port:
                  number: 80

リダイレクト

例：`foo.com` から `bar.com` への恒久的なリダイレクト

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-nginx
  annotations:
    kubernetes.io/ingress.class: "nginx"
    nginx.ingress.kubernetes.io/permanent-redirect: "https://bar.com"
spec:
  ingressClassName: nginx
  rules:
    - host: foo.com
      http:
        paths:
          - path: "/"
            pathType: ImplementationSpecific
            backend:
              service:
                name: httpbin
                port:
                  number: 8000

書き換え

例：`example.com/test` へのリクエストに対して `Host` ヘッダーを `test.com` に書き換える

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: demo
  annotations:
    nginx.ingress.kubernetes.io/upstream-vhost: "test.com"
spec:
  ingressClassName: nginx
  rules:
    - host: example.com
      http:
        paths:
          - path: /test
            pathType: ImplementationSpecific
            backend:
              service:
                name: demo-service
                port:
                  number: 80

スロットリング

クライアント IP ごとのリクエストレートと同時接続数を制限して、バックエンドサービスをトラフィックスパイクから保護します。

例：IP ホワイトリストを使用したレート制限

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-nginx
  annotations:
    kubernetes.io/ingress.class: "nginx"
    nginx.ingress.kubernetes.io/limit-rate: "100K"
    nginx.ingress.kubernetes.io/limit-rps: "1"
    nginx.ingress.kubernetes.io/limit-rpm: "30"
    nginx.ingress.kubernetes.io/limit-whitelist: "10.1.10.100"
spec:
  ingressClassName: nginx
  rules:
    - host: example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: backend-svc
                port:
                  number: 80

フォールバック

プライマリバックエンドが利用できない場合に、トラフィックをバックアップサービスにルーティングします。

カナリアリリース

カナリアリリースとブルーグリーンデプロイメントを実装します。詳細については、「NGINX Ingress コントローラーを使用してカナリアリリースとブルーグリーンデプロイメントを実装する」をご参照ください。

タイムアウト

kubectl edit cm -n kube-system nginx-configuration

CORS

ブラウザリクエストに対してオリジン間リソース共有 (CORS) を有効にします。詳細については、「NGINX Ingress で CORS を設定する」をご参照ください。

リトライポリシー

IP アドレスベースのアクセス制御

例：特定の IP アドレスのみを許可する

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-nginx
  annotations:
    kubernetes.io/ingress.class: "nginx"
    nginx.ingress.kubernetes.io/whitelist-source-range: "10.1.10.2"
spec:
  ingressClassName: nginx
  rules:
    - host: example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: backend-svc
                port:
                  number: 80

グローバルに適用するには、nginx-configuration ConfigMap で whitelist-source-range を設定します。

トラフィックミラーリング

本番トラフィックに影響を与えることなく、テストのために本番リクエストをシャドウ環境に複製します。詳細については、「Ingress コントローラーを使用してネットワークトラフィックをミラーリングする」をご参照ください。

セキュリティ保護

クライアントと NGINX Ingress コントローラー間、およびコントローラーとバックエンドサービス間の TLS 暗号化を設定します。詳細については、「NGINX Ingress コントローラーの暗号化」をご参照ください。

セキュリティ認証

Basic 認証でアクセスを制限します。認証されたリクエストのみがバックエンドサービスに到達します。

Basic 認証の設定

1. htpasswd を使用してパスワードファイルを生成します。

   htpasswd -c auth joker

   ファイルを検証します。

   cat auth
   # 期待される出力: joker:$apr1$R.G4krs/$hh0mX8xe4A3lYKMjvlVs1/

2. パスワードファイルから Secret を作成します。

   kubectl create secret generic basic-auth --from-file=auth

3. Ingress にアノテーションを追加します。

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: ingress-nginx
     annotations:
       kubernetes.io/ingress.class: "nginx"
       nginx.ingress.kubernetes.io/auth-type: basic
       nginx.ingress.kubernetes.io/auth-secret: basic-auth
   spec:
     ingressClassName: nginx
     rules:
       - host: example.com
         http:
           paths:
             - path: /
               pathType: Prefix
               backend:
                 service:
                   name: backend-svc
                   port:
                     number: 80