Container Service for Kubernetes:Container Service for Kubernetes: MSE Ingress ゲートウェイでサポートされるアノテーション

カナリアリリース

これらのアノテーションを併用して、サービスのバージョン間でトラフィックを分割します。

マルチサービスルーティング

単一の Ingress から、重み付けに基づいて複数のバックエンドサービスへトラフィックをルーティングします。このアノテーションを設定すると、Ingress 上のすべてのルーティングルールの送信先サービスが上書きされます。

例:

annotations:
  # 60 % のトラフィックを foo に、40 % を bar にルーティングします。
  mse.ingress.kubernetes.io/destination: |
    60% foo.default.svc.cluster.local:8080
    40% bar.default.svc.cluster.local:9090

サービスサブセット

サービス内の特定の Pod サブセットへリクエストをルーティングします。これは、1 つのサービスが異なるラベルを持つ複数のデプロイメントを管理する場合に有効です。

サブセットルーティングルール:

• subset-labels が **設定されていない場合**、ルーティングは service-subset の値に基づきます:

  • "" または base → ラベル opensergo.io/canary: "" を持つ Pod、または opensergo.io/canary で始まるラベルを一切持たない Pod。

  • その他の任意の値（例: gray）→ ラベル opensergo.io/canary-gray: gray を持つ Pod。

• subset-labels が設定されている場合、指定された Key:Value ラベルに一致する Pod にのみリクエストが転送されます。

指定されたラベルに一致する Pod が存在しない場合、リクエストは自動的にサービス内のすべての Pod に転送されます。

フォールバックサービス

プライマリバックエンドが利用不可になった場合に、リクエストをフォールバックサービスへリダイレクトします。

正規表現マッチ

書き換え

リダイレクト

CORS

ヘッダー制御

ベースルートおよびカナリアルート向けのヘッダー制御ポリシーは独立しています。ベーストラフィックおよびカナリアトラフィックに異なるヘッダー操作ルールを適用するには、それぞれ別途構成してください。

すべてのヘッダー制御アノテーションは、Ingress 範囲の MSE 専用アノテーションです。複数のヘッダーを設定するには、YAML ブロックリテラル（|）を使用し、各 key: value ペアを個別の行に記述します。

例 — 複数のリクエストヘッダー:

annotations:
  mse.ingress.kubernetes.io/request-header-control-add: |
    x-custom-header: value1
    x-another-header: value2
  mse.ingress.kubernetes.io/request-header-control-remove: x-remove-me,x-also-remove

タイムアウト

タイムアウトは、TCP トランスポート層ではなく、アプリケーション層（HTTP）で適用されます。

リトライ

トラフィックミラーリング

本番環境への影響を及ぼさずに、実際のトラフィックの一部をシャドウサービスへミラーしてテストを行います。

ドメインエイリアス

単一ゲートウェイの速度制限（非推奨）

これらの単一ゲートウェイの速度制限アノテーションは非推奨となります。代わりに、グローバル速度制限 アノテーションをご利用ください。

グローバル速度制限（推奨）

これらのアノテーションは、ゲートウェイ V1.2.25 以降が必要です。rate-limit-fallback-custom-response-code および rate-limit-fallback-redirect-url は相互排他であり、いずれか一方のみを指定してください。

例 — 速度制限時にカスタム JSON エラーを返す:

annotations:
  mse.ingress.kubernetes.io/rate-limit: "100"
  mse.ingress.kubernetes.io/rate-limit-fallback-custom-response-code: "429"
  mse.ingress.kubernetes.io/rate-limit-fallback-custom-response-body-type: json
  mse.ingress.kubernetes.io/rate-limit-fallback-custom-response-body: '{"error":"rate limit exceeded"}'

グローバル同時実行制御

これらのアノテーションは、ゲートウェイ V1.2.25 以降が必要です。concurrency-limit-fallback-custom-response-code および concurrency-limit-fallback-redirect-url は相互排他であり、いずれか一方のみを指定してください。

バックエンドプロトコル

負荷分散

サービスプリフェッチ（グレースフル起動）

クッキーによるセッション保持

IP アドレスベースのアクセス制御

ルートレベルのアクセス制御は、ドメインレベルのアクセス制御よりも優先されます。ルートレベルのポリシー内では、denylist-source-range が blacklist-source-range よりも優先されます。

接続プール（ゲートウェイからバックエンドへ）

クライアントからゲートウェイへの TLS

例 — TLS 1.2 以降を必須とし、特定の暗号スイートを指定:

annotations:
  mse.ingress.kubernetes.io/tls-min-protocol-version: TLSv1.2
  mse.ingress.kubernetes.io/tls-max-protocol-version: TLSv1.3
  nginx.ingress.kubernetes.io/ssl-cipher: ECDHE-RSA-AES256-GCM-SHA384,ECDHE-ECDSA-AES256-GCM-SHA384

ゲートウェイからバックエンドへの TLS

認証

MSE Ingress は HTTP ベーシック認証をサポートしています。これらのアノテーションを併用して、シークレット名、フォーマット、および任意のレルムを構成します。

NGINX Ingress アノテーションの詳細については、「アノテーション」をご参照ください。