Container Service for Kubernetes:AlbConfig を使用した ALB インスタンスの設定

AlbConfig のパラメーター

デフォルトの AlbConfig 構成

デフォルトの AlbConfig を使用して ALB イングレスコントローラーをインストールすると、以下の設定が適用されます（vSwitchId はユーザーが指定する必要があります）。

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    accessLogConfig:
      logProject: ""
      logStore: ""
    addressAllocatedMode: Dynamic
    addressType: Internet
    billingConfig:
      internetBandwidth: 0
      internetChargeType: ""
      payType: PostPay
    deletionProtectionEnabled: true
    edition: Standard
    forceOverride: false
    zoneMappings:
    - vSwitchId: #...
    - vSwitchId: #...
status:
  loadBalancer:
    dnsname: alb-s2em8fr9debkg5****.cn-shenzhen.alb.aliyuncsslb.com
    id: alb-s2em8fr9debkg5****

上書き動作

ステップ 1：IngressClass の作成

以下の内容で ingress_class.yaml というファイルを作成します。

apiVersion: networking.k8s.io/v1
kind: IngressClass
metadata:
  name: alb
spec:
  controller: ingress.k8s.alibabacloud/alb
  parameters:
    apiGroup: alibabacloud.com
    kind: AlbConfig
    name: alb  # 関連付ける AlbConfig の名前

apiVersion: networking.k8s.io/v1beta1
kind: IngressClass
metadata:
  name: alb
spec:
  controller: ingress.k8s.alibabacloud/alb
  parameters:
    apiGroup: alibabacloud.com
    kind: AlbConfig
    name: alb

以下のコマンドを実行して IngressClass を作成します。

kubectl apply -f ingress_class.yaml

予想される出力：

ingressclass.networking.k8s.io/alb created

ステップ 2：IngressClass を参照する Ingress の作成

以下の内容で ingress.yaml というファイルを作成します。ingressClassName フィールドにより、この Ingress が IngressClass を介して AlbConfig と関連付けられます。

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: cafe-ingress
spec:
  ingressClassName: alb
  rules:
  - http:
      paths:
      - path: /tea
        pathType: ImplementationSpecific
        backend:
          service:
            name: tea-svc
            port:
              number: 80
      - path: /coffee
        pathType: ImplementationSpecific
        backend:
          service:
            name: coffee-svc
            port:
              number: 80

apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: cafe-ingress
spec:
  ingressClassName: alb
  rules:
  - http:
      paths:
      - path: /tea
        backend:
          serviceName: tea-svc
          servicePort: 80
      - path: /coffee
        backend:
          serviceName: coffee-svc
          servicePort: 80

以下のコマンドを実行して Ingress を作成します。

kubectl apply -f ingress.yaml

予想される出力：

ingress.networking.k8s.io/cafe-ingress created

IPv6 デュアルスタックの有効化

IPv4 および IPv6 の両方を有効にするには、addressIpVersion を DualStack に設定します。

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    addressIpVersion: DualStack
    ...

インターネット共有帯域幅インスタンスの関連付け

ALB インスタンス間で帯域幅を共有するには、bandWidthPackageId を billingConfig セクションで指定します。この設定は、インターネット向け ALB インスタンス（addressType: Internet）にのみ適用されます。

Internet Shared Bandwidth の詳細については、「Internet Shared Bandwidth インスタンスを作成および管理する」をご参照ください。

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    name: alb
    addressType: Internet
    edition: Standard
    zoneMappings:
    - vSwitchId: vsw-2vcqeyvwsnd***
    - vSwitchId: vsw-2vcbhjlqu7y***
    billingConfig:
      bandWidthPackageId: cbwp-2vcjucp49otd8qolhm***

証明書の指定

HTTPS リスナーに証明書をバインドするには、リスナー構成の certificates フィールドを設定します。最初の証明書がデフォルト証明書となります。

証明書が指定されていない場合、ALB の作成時にはリスナーは作成されません。代わりに、Ingress が関連付けられ、ドメイン名に基づいて証明書が自動検出された後にリスナーが作成されます。

詳細については、「暗号化通信用に HTTPS 証明書を設定する」をご参照ください。

listeners:
- caEnabled: false
  certificates:
  - CertificateId: 756****-cn-hangzhou
    IsDefault: true
  port: 443
  protocol: HTTPS

TLS セキュリティポリシーの指定

HTTPS リスナーの場合、securityPolicyId フィールドを使用して TLS セキュリティポリシーを指定します。カスタムポリシーおよびシステムデフォルトポリシーの両方がサポートされています。詳細については、「TLS セキュリティポリシー」をご参照ください。

listeners:
- port: 443
  protocol: HTTPS
  securityPolicyId: tls_cipher_policy_1_1

リクエストタイムアウトの設定

requestTimeout フィールドは、ALB インスタンスがバックエンドからの応答を待機する時間を（秒単位で）指定します。有効な値は 1～600 です。デフォルト値は 60 秒です。バックエンドがタイムアウト期間内に応答しない場合、ALB はクライアントに HTTP 504 エラーを返します。

listeners:
- port: 80
  protocol: HTTP
  requestTimeout: 40

データ圧縮の有効化

応答の圧縮を有効にするには、gzipEnabled を true に設定します。クライアントが Brotli および Gzip の両方をサポートしている場合、ALB は圧縮率の高い Brotli を優先します。

以下の 2 つの条件が満たされた場合にのみ、圧縮が適用されます。

• Content-Length 応答ヘッダーの値が 1024 バイトを超える。

• Accept-Encoding リクエストヘッダーにサポートされている圧縮アルゴリズムが含まれている。

Brotli はすべてのファイルタイプを圧縮します。Gzip は以下のタイプを圧縮します：text/xml、text/plain、text/css、application/javascript、application/x-javascript、application/rss+xml、application/atom+xml、application/xml、および application/json。

listeners:
- port: 80
  protocol: HTTP
  gzipEnabled: true

X-Forwarded-For ヘッダーの構成

バックエンドサービスに転送される HTTP リクエストヘッダーに、クライアントおよび ALB のメタデータを追加します。

listeners:
- port: 80
  protocol: HTTP
  xForwardedForConfig:
    XForwardedForEnabled: true
    XForwardedForClientSrcPortEnabled: true
    XForwardedForProtoEnabled: true
    XForwardedForSLBIdEnabled: true
    XForwardedForSLBPortEnabled: true

信頼済みプロキシ IP アドレスの指定

既知のプロキシを経由するリクエストにおいて、XForwardedForClientSourceIpsEnabled および XForwardedForClientSourceIpsTrusted を使用して、X-Forwarded-For ヘッダーからクライアントの実際の IP アドレスを抽出します。ALB は、X-Forwarded-For の IP リストを逆順に走査し、信頼リストに含まれていない最初の IP を選択します。

たとえば、X-Forwarded-For が <client IP, proxy-1, proxy-2> の場合、クライアント IP を抽出するために XForwardedForClientSourceIpsTrusted を proxy-1;proxy-2 に設定します。

listeners:
- port: 80
  protocol: HTTP
  xForwardedForConfig:
    XForwardedForClientSourceIpsEnabled: true
    XForwardedForClientSourceIpsTrusted: 192.168.x.x;192.168.x.x/16  # IP アドレスまたは CIDR をセミコロンで区切り、スペースを含めないでください。

ACL によるアクセス制御の構成

アクセス制御リスト (ACL) を設定して、ALB リスナーにアクセスできるクライアントを制御します。詳細については、「ACL を設定してアクセスの制御を実装する」をご参照ください。

listeners:
- port: 80
  protocol: HTTP
  aclConfig:
    aclEntries:
    - 127.0.0.1/32
    aclType: White

リスナー フィールドの更新方法

listeners フィールドは、置き換えによって更新される配列です。新しい構成を適用すると、システムは 3 つの状態を比較して結果を決定します。

例：

以下の 3 つの状態を前提とします。

# 新規構成（オブジェクト構成ファイル）
listeners:
- port: 8001
  protocol: HTTP
- port: 8003
  protocol: HTTP
- port: 8005    # 新規
  protocol: HTTP

# 既存構成
listeners:
- port: 8001
  protocol: HTTP
- port: 8002    # 削除対象
  protocol: HTTP
- port: 8003
  protocol: HTTP
- port: 8004    # 削除対象
  protocol: HTTP

# 直近適用構成
listeners:
- port: 8001
  protocol: HTTP
- port: 8002    # 削除対象
  protocol: HTTP
- port: 8003
  protocol: HTTP

結果として得られるリスナー構成：

listeners:
- port: 8001    # 保持（ルール 1）
  protocol: HTTP
- port: 8003    # 保持（ルール 1）
  protocol: HTTP
- port: 8005    # 追加（ルール 2）
  protocol: HTTP

• ポート 8001 および 8003：保持（ルール 1）。

• ポート 8005：追加（ルール 2）。

• ポート 8002：削除（ルール 3 — 直近適用構成に存在）。

• ポート 8004：削除（ルール 4 — 直近適用構成に存在せず、新規構成にも存在しない）。

ALB インスタンスを作成した AlbConfig の削除

AlbConfig を削除すると、関連付けられた ALB インスタンスも削除されます。

kubectl delete AlbConfig <AlbConfig_NAME>

<AlbConfig_NAME> を AlbConfig の名前に置き換えます。

再利用 ALB インスタンス用 AlbConfig の削除

AlbConfig を削除しても、ALB インスタンス自体は削除されません。これは、インスタンスが AlbConfig によって作成されていないためです。

1. （ALB イングレスコントローラー v2.10.0-aliyun.1 以前のみ） AlbConfig を編集し、spec.listeners の下にあるすべてのエントリを削除します。ALB イングレスコントローラーのバージョンが v2.10.0-aliyun.1 より新しい場合は、このステップをスキップしてください。

      kubectl edit albconfig <AlbConfig_NAME>

2. AlbConfig を削除します。

   重要

   このコマンドを実行する前に、関連付けられたすべての Ingress リソースを削除してください。

      kubectl delete AlbConfig <AlbConfig_NAME>

リスナーの削除

spec.listeners からリスナーのエントリを kubectl edit を使用して削除します。ALB インスタンスには複数のリスナーを設定できます。不要になったリスナーのみを削除してください。

# 削除前：2 つのリスナー
listeners:
- port: 8001
  protocol: HTTP
- port: 8002    # このリスナーを削除
  protocol: HTTP

# 削除後：1 つのリスナー
listeners:
- port: 8001
  protocol: HTTP

エラー: alb: リスナーのポート番号は [1:65535] の範囲内にするか、リスナー設定でリッスンポートを明示的に設定する必要があります

このエラーは、YAML ファイル内で -（ダッシュ）が certificates の前に余分に配置され、ポートのない別個のリスナーが作成された場合に発生します。

誤った記述：

listeners:
- port: 80
  protocol: HTTP
- port: 443
  protocol: HTTPS
- certificates:           # 余分な「-」により、ポートのない新規リスナーが作成される
  - CertificateId: 756****-cn-hangzhou
    IsDefault: true

正しい記述：

listeners:
- port: 80
  protocol: HTTP
- port: 443
  protocol: HTTPS
  certificates:           # 「-」を削除 — certificates はポート 443 の HTTPS リスナーの一部
  - CertificateId: 756****-cn-hangzhou
    IsDefault: true

- を certificates の前に削除し、証明書構成がポート 443 の HTTPS リスナーに属するようにしてください。