すべてのプロダクト
Search

このプロダクト

    Container Service for Kubernetes:マルチクラスター gRPC サービスへのトラフィックルーティング

    ドキュメントセンター

    Container Service for Kubernetes:マルチクラスター gRPC サービスへのトラフィックルーティング

    最終更新日:Mar 25, 2026

    このトピックでは、ALB マルチクラスターゲートウェイを使用して、gRPC サービスへのトラフィックをルーティングする方法について説明します。

    前提条件

    • ALB サービスがアクティブ化されています。

    • フリート管理機能を有効にしました。フリート管理機能を有効にする。

    • ACK One Fleet は、Fleet インスタンスと同じ VPC 内の 2 つの ACK クラスターに関連付けられています。詳細については、「関連付けられたクラスターの管理」をご参照ください。

    • Fleet インスタンスの KubeConfig を[ACK One コンソール]から取得し、kubectl を使用して Fleet インスタンスに接続します。

    • grpcurl ツールがインストールされています。

    • 信頼できる証明書を所有していること。証明書は、次のいずれかの方法で取得できます。

      • Certificate Management Service から証明書を購入します。詳細については、「SSL 証明書の購入」をご参照ください。

      • 別の認証局 (CA) から証明書を購入します。

      • ステップ 1 で説明されているように、自己署名証明書を生成します。

        重要

        このトピックの自己署名証明書は、デモンストレーションのみを目的としています。本番環境では使用しないでください。購入済みの証明書をすでに所有している場合は、ステップ 2 にスキップしてください。

    ステップ 1: 自己署名証明書を生成する (オプション)

    証明書を所有していない場合は、次の手順に従って自己署名証明書を生成できます。この例では、証明書のドメイン名として grpc.example.com を使用します。Application Load Balancer (ALB) インスタンスの証明書を構成する方法については、「HTTPS 証明書を構成して暗号化された通信を実装する」をご参照ください。このトピックでは、参照されているトピックの Secret 証明書メソッドを例として使用します。

    1. 次のコンテンツを作成し、/tmp/openssl.cnf ファイルにコピーします。

      [ req ]
#default_bits           = 2048
#default_md             = sha256
#default_keyfile        = privkey.pem
distinguished_name      = req_distinguished_name
attributes              = req_attributes
req_extensions          = v3_req

[ req_distinguished_name ]
countryName                     = Country Name (2 letter code)
countryName_min                 = 2
countryName_max                 = 2
stateOrProvinceName             = State or Province Name (full name)
localityName                    = Locality Name (eg, city)
0.organizationName              = Organization Name (eg, company)
organizationalUnitName          = Organizational Unit Name (eg, section)
commonName                      = Common Name (eg, fully qualified host name)
commonName_max                  = 64
emailAddress                    = Email Address
emailAddress_max                = 64

[ req_attributes ]
challengePassword               = A challenge password
challengePassword_min           = 4
challengePassword_max           = 20

[v3_req]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = grpc.example.com

    1. 次のコマンドを実行して、証明書署名要求を生成します。

      openssl req -new -nodes -keyout grpc.key -out grpc.csr -config /tmp/openssl.cnf -subj "/C=CN/ST=Zhejiang/L=Hangzhou/O=AlibabaCloud/OU=ContainerService/CN=grpc.example.com"

    2. 次のコマンドを実行して、証明書に署名します。

      openssl x509 -req -days 3650 -in grpc.csr -signkey grpc.key -out grpc.crt -extensions v3_req -extfile /tmp/openssl.cnf

      コマンドが正常に実行されると、証明書 grpc.crt と秘密鍵ファイル grpc.key を取得できます。

    3. 次のコマンドを実行して、grpc-secret として証明書をクラスターの gateway-demo 名前空間に追加します。

      kubectl create secret tls grpc-secret --key grpc.key --cert grpc.crt -ngateway-demo   # Replace grpc.key with the name of your private key file and grpc.crt with the name of your certificate file.

    ステップ 2: gRPC サービスを複数のクラスターにデプロイする

    ACK One の GitOps とアプリケーション配布機能を使用して、アプリケーションを複数のクラスターにデプロイできます。詳細については、「GitOps の開始」、「マルチクラスターアプリケーションの作成」、および「アプリケーション配布の開始」をご参照ください。このトピックでは、GitOps を使用してアプリケーションを複数のクラスターに配布します。

    1. ACK One コンソールにログインします。左側のナビゲーションウィンドウで、フリート > マルチクラスター GitOps を選択します。

    2. 「マルチクラスター GitOps」ページの左上隅で、フリート名の隣にある Dingtalk_20231226104633.jpg ボタンをクリックし、ドロップダウンリストから対象のフリートを選択します。

    3. 「マルチクラスターアプリケーションの作成 > GitOps」をクリックして、マルチクラスター アプリケーションの作成 - GitOps ページを開きます。

    4. 「YAML の作成」タブで、以下の YAML コンテンツをコードエディタにコピーし、「OK」をクリックしてアプリケーションをデプロイします。

      説明

      • 次の YAML コンテンツは、関連付けられているすべてのクラスターの gateway-demo 名前空間 にデプロイされます。クイック作成 を使用してクラスターを選択することもできます。変更は、YAML の作成 のコンテンツに同期されます。

      • クラスターに gateway-demo 名前空間が存在しない場合は、手動で作成する必要があります。

      apiVersion: argoproj.io/v1alpha1
kind: ApplicationSet
metadata:
  name: appset-grpc-demo
  namespace: argocd
spec:
  template:
    metadata:
      name: '{{.metadata.annotations.cluster_name}}-grpc'
      namespace: argocd
    spec:
      destination:
        name: '{{.name}}'
        namespace: gateway-demo
      project: default
      source:
        repoURL: https://github.com/ivan-cai/gitops-demo.git
        path: manifests/directory/grpc
        targetRevision: main
      syncPolicy:
        automated: {}
        syncOptions:
          - CreateNamespace=true
  generators:
    - clusters:
        selector:
          matchExpressions:
            - values:
                - cluster
              key: argocd.argoproj.io/secret-type
              operator: In
            - values:
                - in-cluster
              key: name
              operator: NotIn
  goTemplateOptions:
    - missingkey=error
  syncPolicy:
    preserveResourcesOnDeletion: false
  goTemplate: true

    ステップ 3: ALB マルチクラスターゲートウェイと Ingress の作成

    ACK One Fleet に AlbConfig オブジェクトを作成して、ACK One ALB マルチクラスターゲートウェイを作成し、クラスターを関連付けます。gRPC サービスには HTTPS プロトコルが必要なため、リスナーに HTTPS ポートを追加する必要があります。この例ではポート 443 を使用します。

    1. ACK One Fleet の VPC 内にある 2 つの vSwitch の ID を取得します。

    2. 次のコンテンツを使用して、gateway.yaml ファイルを作成します。

      説明

      • ${vsw-id1} と ${vsw-id2} を前のステップで取得した vSwitch ID に置き換え、${cluster1} と ${cluster2} を追加する関連付けられたクラスターの ID に置き換えます。

      • サブクラスター ${cluster1} と ${cluster2} のセキュリティグループのインバウンドルールは、すべてのポートで vSwitch の CIDR ブロックからのトラフィックを許可する必要があります。

      apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: ackone-gateway-demo
  annotations:
    # Add the associated clusters that process traffic to the ALB multi-cluster instance.
    alb.ingress.kubernetes.io/remote-clusters: ${cluster1},${cluster2}
spec:
  config:
    name: one-alb-demo
    addressType: Internet
    addressAllocatedMode: Fixed
    zoneMappings:
    - vSwitchId: ${vsw-id1}
    - vSwitchId: ${vsw-id2}
  listeners:
  - port: 8001
    protocol: HTTP
  - port: 443
    protocol: HTTPS
---
apiVersion: networking.k8s.io/v1
kind: IngressClass
metadata:
  name: alb
spec:
  controller: ingress.k8s.alibabacloud/alb
  parameters:
    apiGroup: alibabacloud.com
    kind: AlbConfig
    name: ackone-gateway-demo

    3. 次のコンテンツで Ingress を作成します。

      説明

      Ingress では、annotation: alb.ingress.kubernetes.io/backend-protocol: grpc と対応する alb.ingress.kubernetes.io/listen-ports を指定する必要があります。また、ステップ 1 の Secret 証明書を参照する必要があります。

      apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    alb.ingress.kubernetes.io/listen-ports: |
     [{"HTTPS": 443}]
    alb.ingress.kubernetes.io/backend-protocol: grpc
  name: grpc-ingress
  namespace: gateway-demo
spec:
  ingressClassName: alb
  rules:
  - host: grpc.example.com
    http:
      paths:
      - backend:
          service:
            name: grpc-service
            port:
              number: 50051
        path: /
        pathType: Prefix
  tls:
  - hosts:
    - grpc.example.com
    secretName: grpc-secret

    ステップ 4: トラフィック転送の確認

    1. 次のコマンドを実行して、Ingress 情報を表示します。

      kubectl get ingress -ngateway-demo

      期待される出力:

      NAME           CLASS   HOSTS              ADDRESS         PORTS     AGE
grpc-ingress   alb     grpc.example.com   alb-*****       80, 443   3m51s

    2. grpcurl を使用してサービスに接続します。

      # Replace <ADDRESS> with the ALB domain name obtained in the previous step.
grpcurl -insecure -authority grpc.example.com <ADDRESS>:443 list

      次の出力は、Ingress がバックエンド gRPC サービスにトラフィックを正常に転送したことを示しています。

      grpc.reflection.v1alpha.ServerReflection
helloworld.Greeter