在Kubernetes集群中,ALB Ingress对集群服务(Service)中外部可访问的API对象进行管理,提供七层负载均衡能力。本文介绍如何使用ALB Ingress将来自不同域名或URL路径的请求转发给不同的后端服务器组、将HTTP访问重定向至HTTPS及实现灰度发布等功能。

前提条件

  • 已创建Kubernetes集群。具体操作,请参见创建Kubernetes托管版集群
  • 已配置SNAT公网访问。
    • 若需要创建集群,请在集群配置配置向导页面,在配置SNAT字段右侧选中为专有网络配置SNAT。从而可以访问外网,下载容器镜像。
    • 若已创建集群,且未配置SNAT公网访问。关于如何为已有集群开启SNAT公网访问能力,请参见为已有集群开启SNAT公网访问能力
  • 已通过kubectl工具连接ACK集群。具体操作,请参见通过kubectl工具连接集群

基于域名转发请求

通过以下命令创建一个简单的Ingress,根据指定的正常域名或空域名转发请求。

  • 基于正常域名转发请求的示例如下:
    1. 部署以下模板,分别创建Service、Deployment和Ingress,将访问请求通过Ingress的域名转发至Service。
      apiVersion: v1
      kind: Service
      metadata:
        name: demo-service
        namespace: default
      spec:
        ports:
          - name: port1
            port: 80
            protocol: TCP
            targetPort: 8080
        selector:
          app: demo
        sessionAffinity: None
        type: NodePort
      
      ---
      apiVersion: apps/v1
      kind: Deployment
      metadata:
        name: demo
        namespace: default
      spec:
        replicas: 1
        selector:
          matchLabels:
            app: demo
        template:
          metadata:
            labels:
              app: demo
          spec:
            containers:
              - image: registry.cn-hangzhou.aliyuncs.com/alb-sample/cafe:v1
                imagePullPolicy: IfNotPresent
                name: demo
                ports:
                  - containerPort: 8080
                    protocol: TCP
      ---
      apiVersion: networking.k8s.io/v1beta1
      kind: Ingress
      metadata:
        annotations:
          alb.ingress.kubernetes.io/address-type: internet
          alb.ingress.kubernetes.io/vswitch-ids: "vsw-2zeqgkyib34gw1fxs****,vsw-2zefv5qwao4przzlo****"
          kubernetes.io/ingress.class: alb
        name: demo
        namespace: default
      spec:
        rules:
          - host: demo.domain.ingress.top
            http:
              paths:
                - backend:
                    serviceName: demo-service
                    servicePort: 80
                  path: /hello
                  pathType: ImplementationSpecific
    2. 执行以下命令,通过指定的正常域名访问服务。

      替换ADDRESS为ALB实例对应的域名地址,可通过kubectl get ing获取。

      curl -H "host: demo.domain.ingress.top" <ADDRESS>/hello
      预期输出:
      {"hello":"coffee"}
  • 基于空域名转发请求的示例如下:
    1. 部署以下模板,创建Ingress。
      apiVersion: networking.k8s.io/v1beta1
      kind: Ingress
      metadata:
        annotations:
          alb.ingress.kubernetes.io/address-type: internet
          alb.ingress.kubernetes.io/vswitch-ids: "vsw-2zeqgkyib34gw1fxs****,vsw-2zefv5qwao4przzlo****"
          kubernetes.io/ingress.class: alb
        name: demo
        namespace: default
      spec:
        rules:
          - host: ""
            http:
              paths:
                - backend:
                    serviceName: demo-service
                    servicePort: 80
                  path: /hello
                  pathType: ImplementationSpecific
    2. 执行以下命令,通过空域名访问服务。

      替换ADDRESS为ALB实例对应的域名地址,可通过kubectl get ing获取。

      curl <ADDRESS>/hello
      预期输出:
      {"hello":"coffee"}

基于URL路径转发请求

ALB Ingress支持按照URL转发请求,可以通过pathType字段设置不同的URL匹配策略。pathType支持Exact、ImplementationSpecific和Prefix三种匹配方式。

三种匹配方式的示例如下:

  • Exact:以区分大小写的方式精确匹配URL路径。
    1. 部署以下模板,创建Ingress。
      apiVersion: networking.k8s.io/v1beta1
      kind: Ingress
      metadata:
        annotations:
          alb.ingress.kubernetes.io/vswitch-ids: "vsw-2zeqgkyib34gw1fxs****,vsw-2zefv5qwao4przzlo****"
          kubernetes.io/ingress.class: alb
        name: demo-path
        namespace: default
      spec:
        rules:
          - http:
              paths:
              - path: /hello
                backend:
                  serviceName: demo-service
                  servicePort: 80
                pathType: Exact
    2. 执行以下命令,访问服务。

      替换ADDRESS为ALB实例对应的域名地址,可通过kubectl get ing获取。

      curl <ADDRESS>/hello
      预期输出:
      {"hello":"coffee"}
  • ImplementationSpecific:缺省。在ALB Ingress中与Exact做相同处理,但两者Ingress Controller的实现方式不一样。
    1. 部署以下模板,创建Ingress。

      apiVersion: networking.k8s.io/v1beta1
      kind: Ingress
      metadata:
        annotations:
          alb.ingress.kubernetes.io/address-type: internet
          alb.ingress.kubernetes.io/vswitch-ids: "vsw-2zeqgkyib34gw1fxs****,vsw-2zefv5qwao4przzlo****"
          kubernetes.io/ingress.class: alb
        name: demo-path
        namespace: default
      spec:
        rules:
          - http:
              paths:
              - path: /hello
                backend:
                  serviceName: demo-service
                  servicePort: 80
                pathType: ImplementationSpecific
    2. 执行以下命令,访问服务。

      替换ADDRESS为ALB实例对应的域名地址,可通过kubectl get ing获取。

      curl <ADDRESS>/hello
      预期输出:
      {"hello":"coffee"}
  • Prefix:以/分隔的URL路径进行前缀匹配。匹配区分大小写,并且对路径中的元素逐个完成匹配。
    1. 部署以下模板,创建Ingress。
      apiVersion: networking.k8s.io/v1beta1
      kind: Ingress
      metadata:
        annotations:
          alb.ingress.kubernetes.io/address-type: internet
          alb.ingress.kubernetes.io/vswitch-ids: "vsw-2zeqgkyib34gw1fxs****,vsw-2zefv5qwao4przzlo****"
          kubernetes.io/ingress.class: alb
        name: demo-path-prefix
        namespace: default
      spec:
        rules:
          - http:
              paths:
              - path: /
                backend:
                  serviceName: demo-service
                  servicePort: 80
                pathType: Prefix
    2. 执行以下命令,访问服务。

      替换ADDRESS为ALB实例对应的域名地址,可通过kubectl get ing获取。

      curl <ADDRESS>/hello
      预期输出:
      {"hello":"coffee"}

配置健康检查

ALB Ingress支持配置健康检查,可以通过设置以下注解实现。

配置健康检查的YAML示例如下所示:

apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: cafe-ingress
  annotations:
    kubernetes.io/ingress.class: alb
    alb.ingress.kubernetes.io/address-type: internet
    alb.ingress.kubernetes.io/vswitch-ids: "vsw-k1akdsmts6njkvhas****,vsw-k1amdv9ax94gr5iwa****"
    alb.ingress.kubernetes.io/healthcheck-enabled: "true"
    alb.ingress.kubernetes.io/healthcheck-path: "/"
    alb.ingress.kubernetes.io/healthcheck-protocol: "HTTP"
    alb.ingress.kubernetes.io/healthcheck-method: "HEAD"
    alb.ingress.kubernetes.io/healthcheck-httpcode: "http_2xx"
    alb.ingress.kubernetes.io/healthcheck-timeout-seconds: "5"
    alb.ingress.kubernetes.io/healthcheck-interval-seconds: "2"
    alb.ingress.kubernetes.io/healthy-threshold-count: "3"
    alb.ingress.kubernetes.io/unhealthy-threshold-count: "3"
spec:
  rules:
  - http:
      paths:
      # 配置Context Path。
      - path: /tea
        backend:
          serviceName: tea-svc
          servicePort: 80
      # 配置Context Path。
      - path: /coffee
        backend:
          serviceName: coffee-svc
          servicePort: 80
相关参数解释如下表所示。
参数 说明
alb.ingress.kubernetes.io/healthcheck-enabled (可选)表示是否开启健康检查。默认开启(true)。
alb.ingress.kubernetes.io/healthcheck-path (可选)表示健康检查路径。默认/
  • 输入健康检查页面的URL,建议对静态页面进行检查。长度限制为1~80个字符,支持使用字母、数字和短划线(-)、正斜线(/)、半角句号(.)、百分号(%)、半角问号(?)、井号(#)和and(&)以及扩展字符集_;~!()*[]@$^:',+。URL必须以正斜线(/)开头。
  • HTTP健康检查默认由负载均衡系统通过后端ECS内网IP地址向该服务器应用配置的默认首页发起HTTP Head请求。如果您用来进行健康检查的页面并不是应用服务器的默认首页,需要指定具体的检查路径。
alb.ingress.kubernetes.io/healthcheck-protocol (可选)表示健康检查协议。
  • HTTP(默认):通过发送HEAD或GET请求模拟浏览器的访问行为来检查服务器应用是否健康。
  • TCP:通过发送SYN握手报文来检测服务器端口是否存活。
  • GRPC:通过发送POST或GET请求来检查服务器应用是否健康。
alb.ingress.kubernetes.io/healthcheck-method (可选)选择一种健康检查方法。
  • HEAD(默认):HTTP监听健康检查默认采用HEAD方法。请确保您的后端服务器支持HEAD请求。如果您的后端应用服务器不支持HEAD方法或HEAD方法被禁用,则可能会出现健康检查失败,此时可以使用GET方法来进行健康检查。
  • POST:GRPC监听健康检查默认采用POST方法。请确保您的后端服务器支持POST请求。如果您的后端应用服务器不支持POST方法或POST方法被禁用,则可能会出现健康检查失败,此时可以使用GET方法来进行健康检查。
  • GET:如果响应报文长度超过8 KB,会被截断,但不会影响健康检查结果的判定。
alb.ingress.kubernetes.io/healthcheck-httpcode 设置健康检查正常的状态码。
  • 当健康检查协议为HTTP协议时,可以选择http_2xx(默认)、http_3xxhttp_4xxhttp_5xx
  • 当健康检查协议为GRPC协议时,状态码范围为0~99。支持范围输入,最多支持20个范围值,多个范围值使用半角逗号(,)隔开。
alb.ingress.kubernetes.io/healthcheck-timeout-seconds 表示接收健康检查的响应需要等待的时间。如果后端ECS在指定的时间内没有正确响应,则判定为健康检查失败。时间范围为1~300秒,默认值为5秒。
alb.ingress.kubernetes.io/healthcheck-interval-seconds 健康检查的时间间隔。取值范围1~50秒,默认为2秒。
alb.ingress.kubernetes.io/healthy-threshold-count 表示健康检查连续成功所设置的次数后会将后端服务器的健康检查状态由失败判定为成功。取值范围2~10,默认为3次。
alb.ingress.kubernetes.io/unhealthy-threshold-count 表示健康检查连续失败所设置的次数后会将后端服务器的健康检查状态由成功判定为失败。取值范围2~10,默认为3次。

配置自动发现HTTPS证书功能

ALB Ingress Controller提供证书自动发现功能。您需要首先在SSL证书控制台创建证书,然后ALB Ingress Controller会根据Ingress中TLS配置的域名自动匹配发现证书。

  1. 执行以下命令,通过openssl创建证书。
    openssl genrsa -out albtop-key.pem 4096
    openssl req -subj "/CN=demo.alb.ingress.top" -sha256  -new -key albtop-key.pem -out albtop.csr
    echo subjectAltName = DNS:demo.alb.ingress.top > extfile.cnf
    openssl x509 -req -days 3650 -sha256 -in albtop.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out albtop-cert.pem -extfile extfile.cnf
  2. SSL证书控制台上传证书。

    具体操作,请参见上传证书

  3. 在Ingress的YAML中添加以下命令,配置该证书对应的域名。
    tls:
      - hosts:
        - demo.alb.ingress.top
    示例如下:
    ---
    apiVersion: v1
    kind: Service
    metadata:
      name: demo-service-https
      namespace: default
    spec:
      ports:
        - name: port1
          port: 443
          protocol: TCP
          targetPort: 8080
      selector:
        app: demo-cafe
      sessionAffinity: None
      type: NodePort
    
    ---
    apiVersion: apps/v1
    kind: Deployment
    metadata:
      name: demo-cafe
      namespace: default
    spec:
      replicas: 1
      selector:
        matchLabels:
          app: demo-cafe
      template:
        metadata:
          labels:
            app: demo-cafe
        spec:
          containers:
            - image: registry.cn-hangzhou.aliyuncs.com/alb-sample/cafe:v1
              imagePullPolicy: IfNotPresent
              name: demo-cafe
              ports:
                - containerPort: 8080
                  protocol: TCP
    ---
    apiVersion: networking.k8s.io/v1beta1
    kind: Ingress
    metadata:
      annotations:
        alb.ingress.kubernetes.io/address-type: internet
        alb.ingress.kubernetes.io/vswitch-ids: "vsw-k1akdsmts6njkvhas****,vsw-k1amdv9ax94gr5iwa****"
        kubernetes.io/ingress.class: alb
      name: demo-https
      namespace: default
    spec:
      #配置证书对应的域名。
      tls:
      - hosts:
        - demo.alb.ingress.top
      rules:
        - host: demo.alb.ingress.top
          http:
            paths:
              - backend:
                  serviceName: demo-service-https
                  servicePort: 443
                path: /
                pathType: Prefix
  4. 执行以下命令,查看证书。
    curl https://demo.alb.ingress.top/tea
    预期输出:
    {"hello":"tee"}

配置HTTP重定向至HTTPS

ALB Ingress通过设置注解alb.ingress.kubernetes.io/ssl-redirect: "true",可以将HTTP请求重定向到HTTPS 443端口。

配置示例如下:
---
apiVersion: v1
kind: Service
metadata:
  name: demo-service-ssl
  namespace: default
spec:
  ports:
    - name: port1
      port: 80
      protocol: TCP
      targetPort: 8080
  selector:
    app: demo-ssl
  sessionAffinity: None
  type: NodePort

---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: demo-ssl
  namespace: default
spec:
  replicas: 1
  selector:
    matchLabels:
      app: demo-ssl
  template:
    metadata:
      labels:
        app: demo-ssl
    spec:
      containers:
        - image: registry.cn-hangzhou.aliyuncs.com/alb-sample/cafe:v1
          imagePullPolicy: IfNotPresent
          name: demo-ssl
          ports:
            - containerPort: 8080
              protocol: TCP
---
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  annotations:
    kubernetes.io/ingress.class: alb
    alb.ingress.kubernetes.io/vswitch-ids: "vsw-k1akdsmts6njkvhas****,vsw-k1amdv9ax94gr5iwa****"
    alb.ingress.kubernetes.io/ssl-redirect: "true"
  name: demo-ssl
  namespace: default
spec:
  tls:
  - hosts:
    - ssl.alb.ingress.top
  rules:
    - host: ssl.alb.ingress.top
      http:
        paths:
          - backend:
              serviceName: demo-service-ssl
              servicePort: 80
            path: /
            pathType: Prefix

通过注解实现灰度发布

ALB提供复杂路由处理能力,支持基于Header、Cookie以及权重的灰度发布功能。灰度发布功能可以通过设置注解来实现,为了启用灰度发布功能,需要设置注解alb.ingress.kubernetes.io/canary: "true",通过不同注解可以实现不同的灰度发布功能。

说明 灰度优先级顺序:基于Header>基于Cookie>基于权重(从高到低)。
参数 说明 示例
alb.ingress.kubernetes.io/canary-by-headeralb.ingress.kubernetes.io/canary-by-header-value 匹配的Request Header的值,该规则允许您自定义Request Header的值,但必须与alb.ingress.kubernetes.io/canary-by-header一起使用。
  • 当请求中的headerheader-value与设置的值匹配时,请求流量会被分配到灰度服务入口。
  • 对于其他header值,将会忽略header,并通过灰度优先级将请求流量分配到其他规则设置的灰度服务。
当请求Header为location: hz时将访问灰度服务;其它Header将根据灰度权重将流量分配给灰度服务。
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  annotations:
    kubernetes.io/ingress.class: alb
    alb.ingress.kubernetes.io/albconfig.order: "1"
    alb.ingress.kubernetes.io/vswitch-ids: "vsw-k1akdsmts6njkvhas****,vsw-k1amdv9ax94gr5iwa****"
    alb.ingress.kubernetes.io/canary: "true"
    alb.ingress.kubernetes.io/canary-by-header: "location"
    alb.ingress.kubernetes.io/canary-by-header-value: "hz"
alb.ingress.kubernetes.io/canary-by-cookie 基于Cookie的流量切分:
  • 当配置的cookie值为always时,请求流量将被分配到灰度服务入口。
  • 当配置的cookie值为never时,请求流量将不会分配到灰度服务入口。
说明 基于Cookie的灰度不支持设置自定义,只有alwaysnever
请求的Cookie为demo=always时将访问灰度服务。
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  annotations:
    kubernetes.io/ingress.class: alb
    alb.ingress.kubernetes.io/albconfig.order: "2"
    alb.ingress.kubernetes.io/address-type: internet
    alb.ingress.kubernetes.io/vswitch-ids: "vsw-k1akdsmts6njkvhas****,vsw-k1amdv9ax94gr5iwa****"
    alb.ingress.kubernetes.io/canary: "true"
    alb.ingress.kubernetes.io/canary-by-cookie: "demo"
alb.ingress.kubernetes.io/canary-weight 设置请求到指定服务的百分比(值为0~100的整数)。 配置灰度服务的权重为50%。
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  annotations:
    kubernetes.io/ingress.class: alb
    alb.ingress.kubernetes.io/albconfig.order: "3"
    alb.ingress.kubernetes.io/address-type: internet
    alb.ingress.kubernetes.io/vswitch-ids: "vsw-2zeqgkyib34gw1fxs****,vsw-2zefv5qwao4przzlo****"
    alb.ingress.kubernetes.io/canary: "true"
    alb.ingress.kubernetes.io/canary-weight: "50"