Alibaba Cloud Service Mesh:CLB インスタンスを使用する NGINX Ingress を ASM ゲートウェイに移行する

CLB インスタンス ID の取得

以下のコマンドを実行して、CLB インスタンス ID を取得します。

kubectl -n kube-system get svc nginx-ingress-lb -o yaml | grep service.k8s.alibaba/loadbalancer-id

期待される出力例：

service.k8s.alibaba/loadbalancer-id: lb-bp1gts52ced2vgaw1ni78

CLB インスタンス ID（例：lb-bp1gts52ced2vgaw1ni78）を記録してください。後続のステップで使用します。

コンソールでの CLB 設定の更新

1. Server Load Balancer コンソールを開きます。

2. 対象の CLB インスタンスを検索し、以下の変更を行います。

   • 設定変更保護を無効にする。

   • kubernetes.do.not.delete および ack.aliyun.com のタグを削除します。

   • k8s/ で始まる vServer グループの名前を、shared-<port> 形式に変更します。たとえば、k8s/80/nginx-ingress-lb/kube-system/c553a74e6ad13423aa839c8e5******** を shared-80 に変更します。

NGINX Ingress Service へのアノテーションの追加

NGINX Ingress Service に以下のアノテーションを追加し、ACK 管理による自動検出に依存せず、CLB を明示的に参照するように設定します。

metadata:
  annotations:
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-id: "<your-clb-instance-id>"
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-force-override-listeners: "false"
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-vgroup-port: "<your-vgroup-id-1>:80,<your-vgroup-id-2>:443"
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-weight: "100"

以下のプレースホルダーを実際の値に置き換えてください。

NGINX Ingress（変換前）

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: helloworld
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /$2
spec:
  rules:
    - http:
        paths:
          - backend:
              serviceName: helloworld
              servicePort: 80
            path: /helloworld(/|$)(.*)
      host: example.com

Istio VirtualService（変換後）

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: example-vs
spec:
  gateways:
  - istio-system/ingressgateway    # 実際の ASM ゲートウェイ名に置き換えてください
  hosts:
  - example.com
  http:
  - name: route-helloworld
    match:
    - uri:
        prefix: /helloworld/
    - uri:
        prefix: /helloworld
    rewrite:
      uri: /
    route:
    - destination:
        host: helloworld
        port:
          number: 80

Ingress と VirtualService の主な相違点

以下の表に、NGINX Ingress のフィールドとその Istio VirtualService における対応関係をまとめます。

一般的な NGINX Ingress アノテーションの対応関係

高度な NGINX Ingress アノテーションを使用している場合、以下の表に Istio における対応する構成を示します。

名前空間を横断するルーティング

VirtualService とその対象サービスが同一の名前空間にある場合は、短いサービス名（例：helloworld）を使用します。異なる名前空間にある場合は、完全修飾ドメイン名（FQDN）形式を使用します。

<service-name>.<namespace>.svc.cluster.local

オプション A：一時的な CLB を使用したテスト

新しい CLB インスタンスを作成し、ASM イングレスゲートウェイを指すように設定します。この CLB に対してテストリクエストを送信します。

curl -s -I -H "Host: example.com" http://<test-clb-ip>/helloworld/

期待される出力（主要ヘッダー）：

HTTP/1.1 200 OK
server: istio-envoy

応答ヘッダーの server: istio-envoy は、トラフィックが ASM ゲートウェイを経由していることを確認するものです。

オプション B：クラスター内からのテスト

クラスター内で、ASM イングレスゲートウェイの Service に対して直接リクエストを送信します。

# ASM イングレスゲートウェイの ClusterIP を取得
GATEWAY_IP=$(kubectl -n istio-system get svc istio-ingressgateway -o jsonpath='{.spec.clusterIP}')

# テストリクエストを送信
curl -s -I -H "Host: example.com" http://$GATEWAY_IP/helloworld/

同様のリクエストに対する NGINX Ingress コントローラーの応答と一致することを確認してください。server: istio-envoy ヘッダーが応答に含まれている場合、トラフィックが ASM ゲートウェイを経由していることを示します。

推奨される移行スケジュール

ASM ゲートウェイの重みを段階的に増加させ、各段階でモニタリングを行ってください。

重みの調整

ASM ゲートウェイの重み：IstioGateway の service.beta.kubernetes.io/alibaba-cloud-loadbalancer-weight アノテーションを、serviceAnnotations 内で更新します。

serviceAnnotations:
  service.beta.kubernetes.io/alibaba-cloud-loadbalancer-weight: "50"    # この値を調整

NGINX Ingress コントローラーの重み：NGINX Ingress Service の service.beta.kubernetes.io/alibaba-cloud-loadbalancer-weight アノテーションを更新します。このアノテーションが設定されていない場合は、CLB コンソールで直接重みを調整してください。

ロールバック

トラフィック移行中に問題が発生した場合、ASM ゲートウェイの重みを "0" に、NGINX Ingress コントローラーの重みを "100" に戻します。

# ASM ゲートウェイ：トラフィック受信を停止
serviceAnnotations:
  service.beta.kubernetes.io/alibaba-cloud-loadbalancer-weight: "0"

# NGINX Ingress Service：全トラフィックを復元
metadata:
  annotations:
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-weight: "100"

すべてのトラフィックが即座に NGINX Ingress コントローラーへ戻ります。両方のゲートウェイが同一の CLB インスタンスを共有しているため、DNS の変更は不要です。