Container Service for Kubernetes:Configure an ALB instance by using an AlbConfig

Escopo

• O ALB Ingress Controller deve estar instalado no cluster. Para mais informações, consulte Gerenciar o ALB Ingress Controller.

  Nota

  Para usar um ALB Ingress e acessar Services implantados em um cluster dedicado ACK, conceda primeiro ao cluster as permissões necessárias para o ALB Ingress Controller. Para mais informações, consulte Conceder acesso do ALB Ingress Controller a um cluster dedicado ACK.

• Crie dois vSwitches em zonas diferentes e implante-os na mesma Virtual Private Cloud (VPC) do cluster ACK. Verifique se as zonas são compatíveis com o Application Load Balancer (ALB). Para mais informações, consulte Criar e gerenciar vSwitches.

Precauções

• Recomendamos usar o comando kubectl edit para modificar ou atualizar diretamente as configurações de recursos. Caso precise usar o comando kubectl apply, execute primeiro o comando kubectl diff para visualizar as alterações antes de aplicar o kubectl apply. Confirme se as mudanças estão conforme o esperado e, em seguida, execute o comando kubectl apply para aplicá-las ao cluster Kubernetes.

• Ao usar o plug-in de rede Flannel, o serviço de backend do ALB Ingress oferece suporte apenas aos tipos de serviço NodePort e LoadBalancer.

Criar um AlbConfig

Cada AlbConfig corresponde a uma instância ALB. Para usar múltiplas instâncias ALB, crie vários AlbConfigs. Os passos a seguir descrevem o processo de criação.

1. Crie um arquivo chamado alb.yaml e copie o conteúdo abaixo para ele. Use este arquivo para criar o AlbConfig.

   apiVersion: alibabacloud.com/v1
   kind: AlbConfig
   metadata:
     name: alb
   spec:
     config:
       name: alb
       addressType: Internet
       zoneMappings:               
       - vSwitchId: vsw-uf6ccg2a9g71hx8go****  # Replace with the IDs of at least two vSwitches that are in different zones within the VPC where the cluster resides.
         allocationId: eip-asdfas****          # Replace with your EIP ID. By default, a public IP address is automatically assigned.
       - vSwitchId: vsw-uf6nun9tql5t8nh15****  # Replace with the IDs of at least two vSwitches that are in different zones within the VPC where the cluster resides.
         allocationId: eip-dpfmss****          # Replace with your EIP ID.
     listeners:
       - port: 80
         protocol: HTTP

   Parâmetro	Descrição
   spec.config.name	Nome da instância ALB.
   spec.config.addressType	Tipo de endereço da instância ALB. Valores válidos: Internet (padrão): A instância ALB possui um endereço IP público. O nome de domínio é resolvido para o IP público, permitindo acesso via Internet. Intranet: A instância ALB possui apenas um endereço IP privado. O nome de domínio é resolvido para o IP privado, restringindo o acesso à VPC da instância. Importante O parâmetro addressType é processado apenas durante a criação da instância ALB. Atualizações posteriores neste parâmetro não surtem efeito.
   spec.config.zoneMappings	vSwitchId: ID do vSwitch usado pelo ALB Ingress. Especifique os IDs de pelo menos dois vSwitches em zonas distintas. As zonas devem ser compatíveis com o ALB. Para detalhes sobre as zonas suportadas, consulte Regiões e zonas compatíveis com ALB. Os vSwitches e o cluster devem residir na mesma VPC. Importante Em regiões com zona única, especifique apenas um ID de vSwitch. O parâmetro zoneMappings é processado somente na criação da instância ALB. Alterações subsequentes não têm efeito. allocationId: Permite especificar o ID do EIP do qual a instância ALB pública depende nas configurações de zoneMappings. Sem a especificação de um ID de EIP, um endereço IP público é atribuído automaticamente. O sistema cria um EIP BGP (multilinha) pago conforme o uso, com proteção básica de segurança, e o associa à instância ALB. Para detalhes de faturamento, consulte Visão geral do faturamento do ALB. É possível informar o ID de um EIP existente para associá-lo à nova instância ALB. Importante A associação é permitida apenas para EIPs pagos por tráfego adquiridos que não estejam vinculados a uma instância de Internet Shared Bandwidth. Os EIPs alocados em zonas diferentes para a mesma instância ALB devem ser do mesmo tipo.

   Durante a instalação do componente ALB Ingress Controller em um cluster, há a opção de criar um AlbConfig padrão. Exceto pelo vSwitchID, os demais parâmetros seguem as configurações padrão listadas abaixo.

   Clique em para visualizar as configurações padrão de um AlbConfig

   apiVersion: alibabacloud.com/v1
   kind: AlbConfig
   metadata:
     name: alb # The name of the AlbConfig.
   spec:
     config:
       accessLogConfig:
         logProject: ""
         logStore: ""
       addressAllocatedMode: Dynamic # In an AlbConfig, you can use the addressAllocatedMode parameter to specify the IP mode of the ALB instance. Valid values are Dynamic (dynamic IP mode) and Fixed (fixed IP mode).
       addressType: Internet
       billingConfig:
         internetBandwidth: 0
         internetChargeType: ""
         payType: PostPay
       deletionProtectionEnabled: true
       edition: Standard
       forceOverride: false
       zoneMappings:
       - vSwitchId: #...
       - vSwitchId: #...
   status:
     loadBalancer:
       dnsname: alb-s2em8fr9debkg5****.cn-shenzhen.alb.aliyuncs.com
       id: alb-s2em8fr9debkg5****

2. Execute o comando abaixo para criar o AlbConfig:

   kubectl apply -f alb.yaml

   Saída esperada:

   AlbConfig.alibabacloud.com/alb created

3. Execute o seguinte comando para visualizar o recurso AlbConfig:

   kubectl get AlbConfig

   Saída esperada:

   NAME   ALBID        DNSNAME                                  PORT&PROTOCOL   CERTID   AGE
   alb    alb-******   alb-******.<regionID>.alb.aliyuncs.com                            28m

   Nota

   Após criar um listener HTTPS e configurar seu certificado, as colunas PORT&PROTOCOL e CERTID exibirão conteúdo. Por padrão, essas colunas permanecem vazias.

Reutilizar uma instância ALB existente

Para reutilizar uma instância ALB existente, especifique o ID da instância ao criar o AlbConfig. A instância ALB existente deve ser do tipo Standard ou habilitada para WAF, criada no console do Application Load Balancer (ALB). Instâncias ALB Basic não podem ser reutilizadas. Uma instância pode ser usada por apenas um cluster; não é permitido compartilhar a mesma instância ALB entre múltiplos clusters.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: reuse-alb
spec:
  config:
    id: **** # The ID of the Standard or WAF-enabled ALB instance created in the ALB console.
    forceOverride: false
    listenerForceOverride: false

A tabela a seguir detalha os parâmetros.

Configurar uma instância de Internet Shared Bandwidth

Ao ativar este recurso, torna-se possível associar uma instância de Internet Shared Bandwidth a uma instância ALB por meio do AlbConfig.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    name: alb
    addressType: Internet
    edition: Standard
    zoneMappings:
    - vSwitchId: vsw-2vcqeyvwsnd***
    - vSwitchId: vsw-2vcbhjlqu7y***
    billingConfig:
      bandWidthPackageId: cbwp-2vcjucp49otd8qolhm***  # The ID of the Internet Shared Bandwidth instance.

Atualizar um AlbConfig

Para instâncias ALB criadas via AlbConfig, use o comando kubectl edit para atualizar as configurações. Siga os passos abaixo para realizar a atualização.

1. Execute o comando a seguir para obter o nome do AlbConfig:

   kubectl get AlbConfig

   Saída esperada:

   NAME       ALBID        DNSNAME                                  PORT&PROTOCOL   CERTID   AGE
   alb        alb-******   alb-******.<regionID>.alb.aliyuncs.com                            28m

2. Execute o comando abaixo para modificar o AlbConfig:

   kubectl edit albconfig <ALBCONFIG_NAME> # Replace <ALBCONFIG_NAME> with the name of the AlbConfig.

   No arquivo de configuração do AlbConfig, atualize o conteúdo desejado. Por exemplo, modifique o campo spec.config.name para alterar o nome da instância ALB para new_alb.

   ...
    spec:
      config:
        name: new_alb # The updated name.
   ...

Usar um IngressClass para associar um AlbConfig a um Ingress

O ALB Ingress usa o recurso nativo IngressClass do Kubernetes para vincular um AlbConfig a um Ingress. Essa associação ocorre mediante a definição de parâmetros específicos no recurso IngressClass.

1. Crie um arquivo chamado ingress_class.yaml, copie o conteúdo abaixo e use-o para criar um IngressClass.

   Clusters of v1.19 and later

   apiVersion: networking.k8s.io/v1
   kind: IngressClass
   metadata:
     name: alb
   spec:
     controller: ingress.k8s.alibabacloud/alb
     parameters:
       apiGroup: alibabacloud.com
       kind: AlbConfig
       name: alb # The name of the AlbConfig associated with the IngressClass.

   Clusters earlier than v1.19

   apiVersion: networking.k8s.io/v1beta1
   kind: IngressClass
   metadata:
     name: alb
   spec:
     controller: ingress.k8s.alibabacloud/alb
     parameters:
       apiGroup: alibabacloud.com
       kind: AlbConfig
       name: alb

2. Execute o comando a seguir para criar o IngressClass:

   kubectl apply -f ingress_class.yaml

   Saída esperada:

   ingressclass.networking.k8s.io/alb created

3. Crie um arquivo chamado ingress.yaml e copie o conteúdo abaixo. Use o parâmetro ingressClassName para especificar o IngressClass chamado alb e associá-lo ao AlbConfig.

   Clusters of v1.19 and later

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: cafe-ingress 
   spec:
     ingressClassName: alb # The name of the IngressClass associated with the Ingress.
     rules:
     - http:
         paths:
         # Configure the context path.
         - path: /tea
           pathType: ImplementationSpecific
           backend:
             service:
               name: tea-svc
               port:
                 number: 80
         # Configure the context path.
         - path: /coffee
           pathType: ImplementationSpecific
           backend:
             service:
               name: coffee-svc
               port: 
                 number: 80

   Clusters earlier than v1.19

   apiVersion: networking.k8s.io/v1beta1
   kind: Ingress
   metadata:
     name: cafe-ingress
   spec:
     ingressClassName: alb
     rules:
     - http:
         paths:
         # Configure the context path.
         - path: /tea
           backend:
             serviceName: tea-svc
             servicePort: 80
         # Configure the context path.
         - path: /coffee
           backend:
             serviceName: coffee-svc
             servicePort: 80

4. Execute o comando abaixo para criar o Ingress:

   kubectl apply -f ingress.yaml

   Saída esperada:

   ingress.networking.k8s.io/cafe-ingress created

Após concluir estas etapas, o IngressClass estará associado ao AlbConfig e ao Ingress.

Criar e usar múltiplas instâncias ALB

Para operar com várias instâncias ALB simultaneamente, especifique IngressClasses distintos no campo spec.ingressClassName dos recursos Ingress, vinculando cada Ingress a uma instância ALB diferente.

1. Crie um arquivo chamado alb-2.yaml, copie o conteúdo abaixo e use-o para criar um AlbConfig.

   apiVersion: alibabacloud.com/v1
   kind: AlbConfig
   metadata:
     name: alb-2
   spec:
     config:
       name: alb-2        # The name of the ALB instance.
       addressType: Internet  # The ALB instance has a public IP address.
       zoneMappings:
       - vSwitchId: vsw-uf6ccg2a9g71hx8go**** # The ID of the vSwitch.
       - vSwitchId: vsw-uf6nun9tql5t8nh15****

2. Execute o comando a seguir para criar o AlbConfig:

   kubectl apply -f alb-2.yaml

   Saída esperada:

   AlbConfig.alibabacloud.com/alb-2 created

3. Crie um arquivo chamado ingress_class2.yaml, copie o conteúdo abaixo e use-o para criar um IngressClass.

   Clusters of v1.19 and later

   apiVersion: networking.k8s.io/v1
   kind: IngressClass
   metadata:
     name: alb-2
   spec:
     controller: ingress.k8s.alibabacloud/alb
     parameters:
       apiGroup: alibabacloud.com
       kind: AlbConfig
       name: alb-2 # The name of the AlbConfig associated with the IngressClass.

   Clusters earlier than v1.19

   apiVersion: networking.k8s.io/v1beta1
   kind: IngressClass
   metadata:
     name: alb-2
   spec:
     controller: ingress.k8s.alibabacloud/alb
     parameters:
       apiGroup: alibabacloud.com
       kind: AlbConfig
       name: alb-2 # The name of the AlbConfig associated with the IngressClass.

4. Execute o comando abaixo para criar o IngressClass:

   kubectl apply -f ingress_class2.yaml

   Saída esperada:

   ingressclass.networking.k8s.io/alb-2 created

5. Crie um arquivo chamado ingress2.yaml e copie o conteúdo abaixo. Use o parâmetro ingressClassName para indicar uma instância ALB diferente. No exemplo a seguir, alb-2 é definido no campo ingressClassName para vincular o Ingress ao IngressClass alb-2 e, consequentemente, à instância ALB alb-2.

   Clusters of v1.19 and later

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: cafe-ingress2
   spec:
     ingressClassName: alb-2
     rules:
     - http:
         paths:
         # Configure the context path.
         - path: /tea
           pathType: ImplementationSpecific
           backend:
             service:
               name: tea-svc
               port:
                 number: 80
         # Configure the context path.
         - path: /coffee
           pathType: ImplementationSpecific
           backend:
             service:
               name: coffee-svc
               port: 
                 number: 80

   Clusters earlier than v1.19

   apiVersion: networking.k8s.io/v1beta1
   kind: Ingress
   metadata:
     name: cafe-ingress2
   spec:
     ingressClassName: alb-2
     rules:
     - http:
         paths:
         # Configure the context path.
         - path: /tea
           backend:
             serviceName: tea-svc
             servicePort: 80
         # Configure the context path.
         - path: /coffee
           backend:
             serviceName: coffee-svc
             servicePort: 80

6. Execute o comando a seguir para criar o Ingress:

   kubectl apply -f ingress2.yaml

   Saída esperada:

   ingress.networking.k8s.io/cafe-ingress2 created

Usar endereços IPv6

Ao criar uma instância ALB, ative o dual-stack definindo o campo addressIpVersion como DualStack. Isso habilita o suporte simultâneo a IPv4 e IPv6.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    addressIpVersion: DualStack # Enable dual-stack.
    ...

Especificar uma política de segurança TLS

Ao configurar um listener HTTPS em um AlbConfig, é possível definir uma política de segurança TLS. Existem políticas personalizadas e políticas padrão do sistema. Para mais detalhes, consulte Política de segurança TLS.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    #...
  listeners:
  - port: 443
    protocol: HTTPS
    securityPolicyId: tls_cipher_policy_1_1 # The ID of the specified security policy.
  #...

Ativar logs de acesso no Simple Log Service

Para que o ALB Ingress colete logs de acesso, especifique logProject e logStore no AlbConfig.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    accessLogConfig:
      logProject: "k8s-log-xz92lvykqj1siwvif****"
      logStore: "alb_****"
    #...

Na aba Basic Information, clique em no nome à direita de Log Service Project para visualizar os logs de acesso coletados.

Excluir um AlbConfig

Como cada AlbConfig corresponde a uma instância ALB, excluir o AlbConfig remove também a instância ALB criada por ele.

Execute o comando abaixo para excluir um AlbConfig:

kubectl delete AlbConfig <AlbConfig_NAME> # Replace <AlbConfig_NAME> with the name of the AlbConfig.

Excluir o AlbConfig de uma instância ALB reutilizada

Se você optou por reutilizar uma instância ALB existente ao criar o AlbConfig, a instância não foi criada pelo AlbConfig. Portanto, excluir o AlbConfig não remove a instância ALB. Para excluir o AlbConfig de uma instância reutilizada, siga os passos abaixo.

1. Use o comando kubectl edit para modificar o AlbConfig e remover todos os seus listeners. Para isso, exclua todas as entradas sob o campo spec.listeners.

   Importante

   Realize esta operação apenas se a versão do componente ALB Ingress Controller instalada no cluster for v2.10.0-aliyun.1 ou anterior. Caso contrário, pule esta etapa.

2. Execute o comando a seguir para excluir o AlbConfig:

   Importante

   Antes de excluir um AlbConfig, remova todos os recursos Ingress associados a ele.

   kubectl delete AlbConfig <AlbConfig_NAME> # Replace <AlbConfig_NAME> with the name of the AlbConfig.

Atualizar o campo Listeners

# The object configuration file provides the following expected configuration values.
  listeners:
  - port: 8001
    protocol: HTTP
  - port: 8003
    protocol: HTTP
  - port: 8005 # Add 8005.
    protocol: HTTP

# The existing object configuration file shows the configuration of the existing object.
  listeners:
  - port: 8001
    protocol: HTTP
  - port: 8002  # Delete 8002.
    protocol: HTTP
  - port: 8003
    protocol: HTTP
  - port: 8004  # Delete 8004.
    protocol: HTTP
    
# The last-applied-configuration records the last applied configuration of the object.
  listeners:
  - port: 8001 
    protocol: HTTP
  - port: 8002  # Delete 8002.
    protocol: HTTP
  - port: 8003
    protocol: HTTP

# The result of the Listeners configuration file.
  listeners:
  - port: 8001
    protocol: HTTP
  - port: 8003
    protocol: HTTP
  - port: 8005
    protocol: HTTP

Criar listeners

Listeners funcionam como pontos de entrada principais para o processamento de tráfego pela instância ALB. A abertura de portas para aceitar requisições de clientes só ocorre após a criação dos listeners.

Defina port e protocol no AlbConfig para criar o listener correspondente. Modificar port, protocol ou outras propriedades faz com que o sistema exclua o listener original e crie um novo em seu lugar.

Os listeners suportam três protocolos de camada de aplicação: HTTP, HTTPS e QUIC.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
  ...
  listeners:
    - port: 80
      protocol: HTTP # The valid values for protocol are HTTP, HTTPS, and QUIC.
  ...

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
  ...
  listeners:
    - port: 443
      protocol: HTTPS
  ...

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
  ...
  listeners:
    - port: 443
      protocol: QUIC
  ...

Especificar um certificado

Ao configurar um ALB, execute o comando kubectl edit albconfig <Albconfig_Name> para habilitar criptografia e verificação de identidade no protocolo HTTPS. No AlbConfig, defina o parâmetro certificates com o ID do certificado que o listener deve usar para criptografar e descriptografar o tráfego HTTPS.

Sem a especificação de um certificado, o listener não é criado junto com o ALB. Ele será provisionado apenas após a associação de um Ingress e a descoberta automática de um certificado baseada no nome de domínio.

Para mais detalhes sobre configuração de certificados, consulte Configurar certificado HTTPS para comunicação criptografada.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb-demo
spec:
  config:
  ...
  listeners:
  - caEnabled: false
    certificates:
    - CertificateId: 756****-cn-hangzhou # The certificate ID.
      IsDefault: true
    port: 443
    protocol: HTTPS
  ...

Definir o tempo limite de requisição do listener

É possível estabelecer um tempo limite de requisição para o listener no AlbConfig. O valor, em segundos, varia de 1 a 600. Se o servidor de backend não responder dentro desse período, a instância ALB interrompe a espera e retorna um erro HTTP 504 ao cliente. Na ausência dessa configuração, o valor padrão é de 60 segundos. Veja abaixo um exemplo de arquivo YAML.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    ...
  listeners:
  - port: 80
    protocol: HTTP
    requestTimeout: 40 # If you do not enter a value, the default timeout period is 60 seconds.
  ...

Usar o recurso de compressão de dados

Quando ativado, este recurso permite que a instância ALB comprima tipos específicos de arquivos. Valores válidos para gzipEnabled:

• true: Comprime tipos específicos de arquivos.

• false: Não realiza compressão de arquivos.

Segue um exemplo de arquivo YAML para ativar a compressão de dados:

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    ...
  listeners:
  - port: 80
    protocol: HTTP
    gzipEnabled: true
  ...

Obter o endereço IP de origem do cliente

Ao ativar este recurso, a instância ALB insere um campo com o IP de origem do cliente no cabeçalho da requisição HTTP ao encaminhar solicitações ao serviço de backend. Valores válidos para XForwardedForEnabled:

• true: Obtém o IP de origem do cliente.

• false: Não obtém o IP de origem do cliente.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    #...
  listeners:
  - port: 80
    protocol: HTTP
    xForwardedForConfig:
      XForwardedForEnabled: true # XForwardedForEnabled cannot be disabled.
  #...

Obter a porta do cliente

Com este recurso ativo, a instância ALB adiciona um campo contendo a porta do cliente ao cabeçalho da requisição HTTP durante o encaminhamento ao serviço de backend. Valores válidos para XForwardedForClientSrcPortEnabled:

• true: Recupera a porta do cliente.

• false: Não recupera a porta do cliente.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    ...
  listeners:
  - port: 80
    protocol: HTTP
    xForwardedForConfig:
      XForwardedForClientSrcPortEnabled: true
  ...

Obter o protocolo do listener da instância ALB

Ao habilitar este recurso, a instância ALB inclui um campo com o protocolo do listener no cabeçalho da requisição HTTP ao encaminhar solicitações ao backend. Valores válidos para XForwardedForProtoEnabled:

• true: Recupera o protocolo do listener da instância.

• false: Não recupera o protocolo do listener da instância.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    ...
  listeners:
  - port: 80
    protocol: HTTP
    xForwardedForConfig:
      XForwardedForProtoEnabled: true
  ...

Obter o ID da instância ALB

Quando este recurso está ativo, a instância ALB adiciona um campo com seu próprio ID ao cabeçalho da requisição HTTP ao encaminhar solicitações aos serviços de backend. Valores válidos para XForwardedForSLBIdEnabled:

• true: Recupera o ID da instância SLB.

• false: Não adiciona o ID da instância ao cabeçalho da requisição.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    ...
  listeners:
  - port: 80
    protocol: HTTP
    xForwardedForConfig:
      XForwardedForSLBIdEnabled: true
  ...

Obter a porta do listener da instância ALB

Após ativar este recurso, a instância ALB insere um campo com a porta do listener no cabeçalho da requisição HTTP ao encaminhar solicitações ao serviço de backend. Valores válidos para XForwardedForSLBPortEnabled:

• true: Recupera a porta do listener da instância.

• false: Não recupera a porta do listener da instância.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    ...
  listeners:
  - port: 80
    protocol: HTTP
    xForwardedForConfig:
      XForwardedForSLBPortEnabled: true
  ...

Especificar endereços IP de servidores proxy confiáveis

No AlbConfig, use o item de configuração XForwardedForClientSourceIpsEnabled para permitir que a instância ALB obtenha o IP de origem do cliente a partir do campo de cabeçalho X-Forwarded-For. Use o item XForwardedForClientSourceIpsTrusted para definir um conjunto de IPs de servidores proxy confiáveis. A instância ALB percorre a lista de IPs do campo X-Forwarded-For em ordem inversa, selecionando o primeiro endereço que não conste na lista de confiança como o IP real do cliente.

Por exemplo, se o valor do campo X-Forwarded-For for <IP de origem do cliente, IP do proxy-1, IP do proxy-2>, insira IP do proxy-1 e IP do proxy-2 em XForwardedForClientSourceIpsTrusted para obter corretamente o IP de origem.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata: 
  name: alb
spec:
  config:
    ...
  listeners:
  - port: 80
    protocol: HTTP
    xForwardedForConfig:
      XForwardedForClientSourceIpsEnabled: true # true indicates that ALB is allowed to find the originating client IP address from the X-Forwarded-For header field. In this case, you must configure XForwardedForClientSourceIpsTrusted with content in the correct format. false indicates that ALB is not allowed to find the originating client IP address from the X-Forwarded-For header field.
      XForwardedForClientSourceIpsTrusted: 192.168.x.x;192.168.x.x/16  # Enter IP addresses or CIDR blocks in the valid format and separate them with semicolons (;). Do not add spaces between the IP addresses or CIDR blocks. This parameter takes effect only when XForwardedForClientSourceIpsEnabled is set to true.
  ...

Configurar controle de acesso baseado em ACL

Use o AlbConfig para ativar o controle de acesso em um listener ALB. Isso possibilita o gerenciamento preciso de requisições de clientes e do encaminhamento de tráfego por meio de regras de permissão ou negação de entrada. Para mais informações sobre listas de controle de acesso (ACLs), consulte Configurar uma ACL para implementar controle de acesso.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
   #...
  listeners:
  - port: 80
    protocol: HTTP
    aclConfig:
      aclEntries:
      - 127.0.0.1/32
      aclType: White
  #...

A tabela a seguir descreve os campos.

• aclType: Define o tipo de ACL do listener. Valores válidos: Black para lista de bloqueios e White para lista de permissões.

• aclEntries: Blocos CIDR das entradas de controle de acesso, como 127.0.0.1/32.

Excluir um listener

Uma instância pode ter vários listeners. Para remover um deles, execute o comando kubectl edit albconfig <Albconfig_Name> e elimine o listener do campo albconfig.spec.listeners no AlbConfig.

# Configuration before deleting the listener.
  listeners:
  - port: 8001
    protocol: HTTP
  - port: 8002  # Delete the 8002 listener.
    protocol: HTTP

# Configuration after deleting the listener.
  listeners:
  - port: 8001
    protocol: HTTP

FAQ

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb-demo
spec:
  config:
  ...
  listeners:
  - port: 80
    protocol: HTTP
  - port: 443
    protocol: HTTPS
  - certificates:  # Incorrect example: An extra "-" is configured.
    - CertificateId: 756****-cn-hangzhou
      IsDefault: true
  ...

apiVersion: alibabacloud.com/v1
    kind: AlbConfig
    metadata:
      name: alb-demo
    spec:
      config:
      ...
      listeners:
      - port: 80
        protocol: HTTP
      - port: 443
        protocol: HTTPS
        certificates:  # The extra "-" is removed, so the certificate configuration is included in the HTTPS: 443 listener.
        - CertificateId: 756****-cn-hangzhou
          IsDefault: true
      ...