Container Service for Kubernetes:ALB インスタンスを介して Gateway API を使用してサービスを公開する

httproute-filter.yaml ファイルを作成します。

apiVersion: gateway.networking.k8s.io/v1beta1
kind: HTTPRoute
metadata:
  name: demo-filter
spec:
  parentRefs: # Gateway リソースを参照します
    - group: gateway.networking.k8s.io
      kind: Gateway
      name: alb
  hostnames:
    - filter.ingress.top # ホストを filter.ingress.top に設定します
  rules:
    - matches: # マッチングルールはパスのプレフィックスマッチです
        - path:
            type: PathPrefix
            value: /
      filters:
        - type: RequestHeaderModifier # リクエストヘッダー my-header: foo を追加します
          requestHeaderModifier:
            add:
              - name: my-header
                value: foo
      backendRefs: # バックエンドはポート 80 の go-httpbin という名前の Service です
        - kind: Service
          name: go-httpbin
          port: 80

このファイルは demo-filter という名前の HTTPRoute リソースを作成します。リソースをデプロイした後、ドメイン名 filter.ingress.top を使用して go-httpbin アプリケーションにアクセスすると、リクエストヘッダー my-header: foo が自動的にリクエストに追加されます。

ルーティングルールをデプロイします。

kubectl apply -f httproute-filter.yaml

アプリケーションにアクセスします。

curl -H "Host: filter.ingress.top" http://${ALB_DOMAIN}/header

期待される出力:

headers: {
    "Accept": [
      "*/*"
    ],
    "Connection": [
      "close"
    ],
    "Host": [
      "filter.ingress.top"
    ],
    "My-Header": [
      "foo"
    ],
    "Path": [
      "/header"
    ],
    "Protocol": [
      "HTTP/1.1"
    ],
    "Remoteip": [
      "118.xx.xx.91"
    ],
    "URL": [
      "/header"
    ],
    "User-Agent": [
      "curl/8.9.1"
    ]
  }
 query param: 
, hostname: go-httpbin-547xxxxxf6-xxxxx

nginx.yaml ファイルを作成します。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: old-nginx
spec:
  replicas: 1
  selector:
    matchLabels:
      run: old-nginx
  template:
    metadata:
      labels:
        run: old-nginx
    spec:
      containers:
      - image: registry.cn-hangzhou.aliyuncs.com/acs-sample/old-nginx
        imagePullPolicy: Always
        name: old-nginx
        ports:
        - containerPort: 80
          protocol: TCP
      restartPolicy: Always
---
apiVersion: v1
kind: Service
metadata:
  name: old-nginx
spec:
  type: ClusterIP 
  ports:
  - port: 80
    protocol: TCP
    targetPort: 80
  selector:
    run: old-nginx
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: new-nginx
spec:
  replicas: 1
  selector:
    matchLabels:
      run: new-nginx
  template:
    metadata:
      labels:
        run: new-nginx
    spec:
      containers:
      - image: registry.cn-hangzhou.aliyuncs.com/acs-sample/new-nginx
        imagePullPolicy: Always
        name: new-nginx
        ports:
        - containerPort: 80
          protocol: TCP
      restartPolicy: Always
---
apiVersion: v1
kind: Service
metadata:
  name: new-nginx
spec:
  type: ClusterIP 
  ports:
  - port: 80
    protocol: TCP
    targetPort: 80
  selector:
    run: new-nginx

上記のファイルは 2 つの NGINX アプリケーションをデプロイします。old-nginx サービスは old 文字列を返し、new-nginx サービスは new 文字列を返します。デプロイされたリソースは default 名前空間にあります。

httproute-weight.yaml ファイルを作成します。

apiVersion: gateway.networking.k8s.io/v1beta1
kind: HTTPRoute
metadata:
  name: demo-weight
spec:
  parentRefs: # Gateway リソースを参照します
    - group: gateway.networking.k8s.io
      kind: Gateway
      name: alb
  hostnames:
    - weight.ingress.top # ホストを weight.ingress.top に設定します
  rules:
    - matches: # マッチングルールはパスのプレフィックスマッチです
        - path:
            type: PathPrefix
            value: /
      backendRefs:
        # バックエンドとそれに対応する重みを設定します。重みはパーセンテージではなく、合計が 100 になる必要はありません。
        - kind: Service
          name: old-nginx
          port: 80
          weight: 100 # old-nginx の重みを 100 に設定します
        - kind: Service
          name: new-nginx
          port: 80
          weight: 100 # new-nginx の重みを 100 に設定します

このルーティングルールは、old-nginx サービスと new-nginx サービスに同じ重みを設定します。したがって、アプリケーションにアクセスすると、トラフィックは new-nginx サービスと old-nginx サービスの間で 1:1 の比率で分散されます。

アプリケーションとルーティングルールをデプロイします。

kubectl apply -f nginx.yaml
kubectl apply -f httproute-weight.yaml

アプリケーションに 10 回アクセスします。

for i in {1..10}; do curl -H "Host: weight.ingress.top" http://${ALB_DOMAIN}/; done

期待される出力:

old
new
new
old
new
old
old
new
new
old

出力は、トラフィックが new-nginx サービスと old-nginx サービスの間で 1:1 の比率で分散されていることを示します。

ドメイン名 ingress.tap の自己署名証明書を作成します。

openssl req -subj '/CN=ingress.top' -new -newkey rsa:2048 -sha256 \
  -days 365 -nodes -x509 -keyout server.key -out server.crt \
  -addext "subjectAltName = DNS:ingress.top" \
  -addext "keyUsage = digitalSignature" \
  -addext "extendedKeyUsage = serverAuth" 2> /dev/null;
  openssl x509 -in server.crt -subject -noout

TLS Secret を作成します。

kubectl create secret tls ingress.top --key server.key --cert server.crt

gateway-tls.yaml ファイルを作成して Gateway を更新します。

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: alb
  namespace: default
spec:
  gatewayClassName: alb
  listeners:
    - name: http
      protocol: HTTP
      port: 80
      hostname: "*.ingress.top"
      allowedRoutes:
        namespaces:
          from: Same
    - name: https
      protocol: HTTPS
      port: 443
      hostname: "*.ingress.top"
      allowedRoutes:
        namespaces:
          from: Same
      tls: # TLS を設定
        mode: Terminate
        certificateRefs: # 作成したシークレットを参照
          - kind: Secret
            name: ingress.top

Gateway を更新します。

gateway.gateway.networking.k8s.io/alb configured

Gateway の Programmed ステータスが True に変更された後、証明書の設定を確認できます。

openssl s_client -servername ingress.top -connect ${ALB_DOMAIN}:443

期待される出力:

CONNECTED(00000003)
depth=0 CN = ingress.top
verify error:num=18:self-signed certificate
verify return:1
depth=0 CN = ingress.top
verify return:1
---
Certificate chain
 0 s:CN = ingress.top
   i:CN = ingress.top
   a:PKEY: rsaEncryption, 2048 (bit); sigalg: RSA-SHA256
   v:NotBefore: Jun 24 10:49:39 2025 GMT; NotAfter: Jun 24 10:49:39 2026 GMT
---
Server certificate
-----BEGIN CERTIFICATE-----
...
...
...
-----END CERTIFICATE-----
subject=CN = ingress.top
issuer=CN = ingress.top
---
No client certificate CA names sent
Peer signing digest: SHA256
Peer signature type: RSA-PSS
Server Temp Key: X25519, 253 bits
---
SSL handshake has read 1506 bytes and written 410 bytes
Verification error: self-signed certificate
---
New, TLSv1.2, Cipher is ECDHE-RSA-AES128-GCM-SHA256
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-RSA-AES128-GCM-SHA256
    Session-ID: xxxxxxxxxxxxxxxxxxxxxxxxx
    Session-ID-ctx: 
    Master-Key: xxxxxxxxxxxxxxxxxxxxxxxxxxx
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    TLS session ticket lifetime hint: 300 (seconds)
    TLS session ticket:
    ...
    ...
    ...

    Start Time: 1750820008
    Timeout   : 7200 (sec)
    Verify return code: 18 (self-signed certificate)
    Extended master secret: yes
---

上記と同様の出力が返された場合、証明書は有効です。