Container Service for Kubernetes:NGINX Ingress 構成辞書

ConfigMap の編集

kubectl edit cm -n kube-system nginx-configuration

デフォルト構成

以下の ConfigMap は ACK のデフォルトを反映しています。ここに記載されていないフィールドは、上流の ingress-nginx のデフォルトを継承します。

apiVersion: v1
kind: ConfigMap
metadata:
  name: nginx-configuration
  namespace: <namespace>    # デフォルト: kube-system
  labels:
    app: ingress-nginx
data:
  log-format-upstream: '$remote_addr - [$remote_addr] - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $request_length $request_time [$proxy_upstream_name] $upstream_addr $upstream_response_length $upstream_response_time $upstream_status $req_id $host [$proxy_alternative_upstream_name]'
  proxy-body-size: 20m
  proxy-connect-timeout: "10"
  max-worker-connections: "65536"
  enable-underscores-in-headers: "true"
  reuse-port: "true"
  worker-cpu-affinity: "auto"
  server-tokens: "false"
  ssl-redirect: "false"
  allow-backend-server-header: "true"
  ignore-invalid-headers: "true"
  generate-request-id: "true"
  upstream-keepalive-timeout: "900"

フィールドの説明

ロードバランシング

例：リクエスト URI による一貫したハッシュ

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-test
  namespace: default
  annotations:
    nginx.ingress.kubernetes.io/upstream-hash-by: "$request_uri"
spec:
  ingressClassName: nginx
  rules:
    - host: example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: <your-service-name>
                port:
                  number: <your-service-port>

Kubernetes バージョン 1.22 より前のクラスターでは、apiVersion: networking.k8s.io/v1beta1 を使用し、backend 配下に serviceName/servicePort フィールドを指定してください。

Cookie アフィニティ

例：クッキーに基づくセッション保持

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: nginx-test
  annotations:
    nginx.ingress.kubernetes.io/affinity: "cookie"
    nginx.ingress.kubernetes.io/session-cookie-name: "route"
    nginx.ingress.kubernetes.io/session-cookie-expires: "172800"
    nginx.ingress.kubernetes.io/session-cookie-max-age: "172800"
spec:
  ingressClassName: nginx
  rules:
    - host: stickyingress.example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: http-svc
                port:
                  number: 80

リダイレクト

例：`foo.com` から `bar.com` への恒久的なリダイレクト

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-nginx
  annotations:
    kubernetes.io/ingress.class: "nginx"
    nginx.ingress.kubernetes.io/permanent-redirect: "https://bar.com"
spec:
  ingressClassName: nginx
  rules:
    - host: foo.com
      http:
        paths:
          - path: "/"
            pathType: ImplementationSpecific
            backend:
              service:
                name: httpbin
                port:
                  number: 8000

書き換え

例：`example.com/test` へのリクエストの `Host` ヘッダーを `test.com` に書き換える

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: demo
  annotations:
    nginx.ingress.kubernetes.io/upstream-vhost: "test.com"
spec:
  ingressClassName: nginx
  rules:
    - host: example.com
      http:
        paths:
          - path: /test
            pathType: ImplementationSpecific
            backend:
              service:
                name: demo-service
                port:
                  number: 80

速度制限

速度制限アノテーションを使用して、クライアント IP アドレスごとのリクエストレートおよび同時接続数を制限し、トラフィックスパイクからバックエンドサービスを保護します。

例：IP ホワイトリスト付きのレート制限

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-nginx
  annotations:
    kubernetes.io/ingress.class: "nginx"
    nginx.ingress.kubernetes.io/limit-rate: "100K"
    nginx.ingress.kubernetes.io/limit-rps: "1"
    nginx.ingress.kubernetes.io/limit-rpm: "30"
    nginx.ingress.kubernetes.io/limit-whitelist: "10.1.10.100"
spec:
  ingressClassName: nginx
  rules:
    - host: example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: backend-svc
                port:
                  number: 80

フォールバック

フォールバックアノテーションを使用して、プライマリバックエンドが利用できない場合にトラフィックをバックアップサービスにルーティングします。

カナリアリリース

カナリアアノテーションを使用して、カナリアリリースおよびブルーグリーンリリースを実装する。詳細については、「NGINX Ingress コントローラーを使用してカナリアリリースおよびブルーグリーンリリースを実装する」をご参照ください。

タイムアウト

kubectl edit cm -n kube-system nginx-configuration

CORS

オリジン間リソース共有 (CORS) を設定して、ブラウザクライアントが異なるオリジンからリソースにアクセスできるようにします。 詳細については、「NGINX Ingress で CORS を設定する」をご参照ください。

リトライポリシー

IP アドレスベースのアクセス制御

例：特定の IP アドレスのみを許可

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-nginx
  annotations:
    kubernetes.io/ingress.class: "nginx"
    nginx.ingress.kubernetes.io/whitelist-source-range: "10.1.10.2"
spec:
  ingressClassName: nginx
  rules:
    - host: example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: backend-svc
                port:
                  number: 80

IP ホワイトリストをグローバルに適用するには、nginx-configuration ConfigMap を編集し、whitelist-source-range を設定してください。

トラフィックミラーリング

トラフィックミラーリングでは、本番環境のリクエストをシャドウ環境に複製し、実際のトラフィックに影響を与えることなく新しいバージョンまたは構成をテストできます。詳細な手順については、「Ingress コントローラーを使用してネットワークトラフィックをミラーリングする」をご参照ください。

セキュリティ保護

TLS を設定して、クライアントと NGINX Ingress コントローラー間、およびコントローラーとバックエンドサービス間の通信を暗号化します。詳細については、「NGINX Ingress コントローラーの暗号化」をご参照ください。

セキュリティ認証

ベーシック認証を使用してアプリケーションへのアクセスを制限します。有効な認証情報を持つリクエストのみがバックエンドサービスに転送されます。

ベーシック認証の設定

1. htpasswd を使用してパスワードファイルを生成します：

   htpasswd -c auth joker

   ファイルを確認します：

   cat auth
   # 期待される出力: joker:$apr1$R.G4krs/$hh0mX8xe4A3lYKMjvlVs1/

2. パスワードファイルからシークレットを作成します：

   kubectl create secret generic basic-auth --from-file=auth

3. Ingress にアノテーションを追加します：

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: ingress-nginx
     annotations:
       kubernetes.io/ingress.class: "nginx"
       nginx.ingress.kubernetes.io/auth-type: basic
       nginx.ingress.kubernetes.io/auth-secret: basic-auth
   spec:
     ingressClassName: nginx
     rules:
       - host: example.com
         http:
           paths:
             - path: /
               pathType: Prefix
               backend:
                 service:
                   name: backend-svc
                   port:
                     number: 80