TF+K8s轻松上手丨通过Kubernetes Ingress进行高级外部应用程序连接



  • 点击此处下载文档,查看本文所有相关链接。

    Kubernetes的Ingress文档页面将其描述为:

    “用于管理对集群中服务的外部访问的API对象,通常是HTTP。Ingress可以提供负载均衡、SSL终结和基于名称的虚拟主机。”

    CNI不提供Ingress功能。这意味着Kubernetes集群管理者通常要为其集群安装、管理和支持单独的Ingress控制器解决方案。

    对于没有内置Ingress支持的本地和公共云中的Kubernetes部署,Tungsten Fabric捆绑了自己的Ingress控制器。它在后台使用HAProxy并实现了Kubernetes Ingress文档页面中所述的所有基本功能。

    在AWS上运行时,可以将Kubernetes 配置为使用AWS的Application Load Balancer (ALB)为其Ingress服务。通过这种方式的设置,沙箱中的Kubernetes可以最紧密地反映典型的现实部署场景。

    下图概述了示例应用程序的最终部署架构:

    6d44917a-0cfd-4926-aee2-8f691bfc0be3-image.png

    使用场景

    Ingress控制器选项仅与使用HTTP或HTTPS的应用程序兼容。如果您的应用程序是这种情况,可能需要考虑使用Ingress来实现以下目标:

    • 使用HTTPS保护应用程序,然后通过配置Ingress进行SSL卸载来将程序公开在网络上;和/或

    • 基于请求中的HTTP路径,将传入请求定向到不同的Kubernetes Services,例如,/blog/可以转到Service A,而/account/可以转到Service B,等等。和/或

    • 通过基于名字的虚拟主机,应用程序服务于多个DNS域,例如Host:头设置为test.project.com的应用去Service C,而那些具有prod.project.com的去Service D。

    通过Ingress公开示例应用

    在探讨上述三种情况之前,让我们部署一个简单的Ingress示例应用程序,类似于我们对 LoadBalancer的做法,然后在此基础上进行构建。

    确保您位于沙箱控制节点上,以root用户身份登录,并且位于正确的目录中:

    #确认您是root账户

    whoami | grep root || sudo -s
    

    # 切换为清单目录

    cd /home/centos/yelb/deployments/platformdeployment/Kubernetes/yaml
    

    #部署具有Ingress的示例程序

    kubectl create -f cnawebapp-ingress-alb.yaml
    

    几分钟后,部署过程应该完成了,我们应该能够从Internet访问示例应用程序。首先找到Ingress的DNS名称:

    # kubectl get ing yelb-ui
    NAME      HOSTS   ADDRESS                                                               
    PORTS   AGE
    yelb-ui   *       
    539db10e-default-yelbui-3c9c-1330819777.us-west-1.elb.amazonaws.com  80      60m
    

    根据上面的输出,现在可以从Internet上的http://539db10e-default-yelbui-3c9c-1330819777.us-west-1.elb.amazonaws.com上访问我们的示例应用程序。

    利用在环境中运行上述命令获得的DNS名称访问Yelb,以确保其有效。

    使用HTTPS保护应用程序的安全

    对于此练习,我们需要生成自签名证书,并将其添加到AWS Certificate Manager。提供Ingress功能的AWS Application Load Balancer(ALB)需要使用此功能来执行加密。

    注意:对于生产用途,可能需要通过AWS Certificate Manager的相应功能来获得完整注册域名的“适当”证书。由于我们只是在进行练习,因此将使用自签名的虚构域。

    步骤1:生成自签名证书,并将其添加到AWS Certificate Manager

    在安装了具有Access和Secret密钥的AWS CLI工具的主机上执行以下步骤。这里的密钥允许您对Certificate Manager进行更改。

    # 为虚构的域名(yelb.mydomain.com)生成自签名证书:

    openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout tls.key -out tls.crt -subj "/CN=yelb.mydomain.com"
    

    #将新的证书加入到AWS Certificate Manager
    #注意“--region” -这必须是同一个AWS区域
    #在我们的例子中,运行Tungsten 沙箱时,它是“us-west-1”
    *

    aws acm import-certificate --certificate file://tls.crt --private-key file://tls.key --region us-west-1
    

    如果一切顺利,最后一条命令将显示类似内容:

    {
     "CertificateArn": "arn:aws:acm:us-west-1:180612498884:certificate/e7341ff5-52ef-4a7b-94b5-05643ef6ab46"
    }
    

    我们将需要CertificateArn后面的值,以进行下一步。

    步骤2:建立Ingress定义

    确保您位于沙箱控制节点上,以root用户身份登录,并且位于正确的目录中:

    # 确定您是root身份

    whoami | grep root || sudo -s
    

    #切换为清单目录

    cd /home/centos/yelb/deployments/platformdeployment/Kubernetes/yaml
    

    现在,让我们创建一个新的Ingress定义:

    b9b5dadf-c536-4908-b974-4f6ce4de0898-image.png

    接下来,我们将CertificateArn放入。在运行该命令之前对其进行编辑,并用执行步骤1时获得arn:aws:acm:us-west-1:180612498884:certificate/e7341ff5-52ef-4a7b-94b5-05643ef6ab46的值替换该命令CertificateArn。

    sed -i "s#INSERT_CERT_ARN_HERE#arn:aws:acm:us-west-1:180612498884:certificate/e7341ff5-52ef-4a7b-94b5-05643ef6ab46#" ingress-https.yaml
    

    如果命令成功运行,则ingress-https.yaml文件将具有自签名证书的ARN,而不是字符串INSERT_CERT_ARN_HERE。

    步骤3:建立HTTPS Ingress并进行测试

    # 创建新的 Ingress

    kubectl create -f ingress-https.yaml
    

    运行上述命令后,请等待几分钟,以使新的ALB Ingress出现。然后,让我们找到已为其分配的DNS名称,并尝试连接到它:

    # kubectl get ingress yelb-ui-https
    NAME            HOSTS                ADDRESS                                                                  PORTS   AGE
    yelb-ui-https   yelb.mydomain.com    539db10e-default-yelbuihtt-2a0d-1983111448.us-west-1.elb.amazonaws.com   80      16m
    

    从上面的输出中,我们可以看到新Ingress的地址;让我们看看它是否有效:

    7eba100d-08eb-4a27-b020-01a9a36a2434-image.png

    这说明它有效——我们可以通过加密连接访问Yelb应用程序!

    新拓扑看起来像这样(请注意,我们仍然具有未在此图中显示的原始HTTP Ingress):

    6fa89aea-b32c-4f28-903a-5961f5016596-image.png

    总结:为什么要这样做?

    除了增加最终用户的连接安全性、隐私性和数据完整性外,实现HTTPS Ingress还有一些好处:

    • 应用程序消耗较少的计算资源,因为加密开销已转移到ALB。

    • 应用程序现在支持HTTP / 2,这是一件好事;

    • 可以轻松实现将 HTTP 自动重定向到HTTPS的功能。

    清理

    让我们删除添加的HTTPS Ingress,因为在本章的其余部分中我们不再需要它:

    kubectl delete -f ingress-https.yaml
    

    然后,在执行步骤1(生成自签名证书并将其安装到AWS Certificate Manager中)的计算机上,运行以下命令以删除该证书,并确保使用您自己的值CertificateArn:

    aws acm delete-certificate --certificate-arn arn:aws:acm:us-west-1:180612498884:certificate/e7341ff5-52ef-4a7b-94b5-05643ef6ab46
    

    根据URL路径定向请求

    在某些情况下,您可能想在同一个DNS域名下运行多个应用程序。例如,www.corp.com可能支持您的主应用程序,而诸如WordPress之类的其他应用程序可能正在处理www.corp.com/blog。

    对于本练习,我们假设您在“通过Ingress公开示例应用程序”这一章的开头按照说明运行了Yelb副本。如果您是从头开始,请跳至该部分,按照说明进行部署,然后再回来。

    为了演示通过URL路径进行的路由,我们将在环境中添加另一个部署,并相应地更新Ingress的配置。在此新配置下,Ingress会将对/路径的请求定向到我们的主应用程序yelb,而对/echo的路径请求将定向为新的应用程序EchoServer。

    这是目标状态的图:

    ea34e6be-073b-4812-9953-0b7a0ba34efb-image.png

    我们应该已经将Yelb的部分放置到位,所以我们添加EchoServer:

    # 创建EchoServer Deployment and Service 清单:

    7798efa8-24b4-452d-ba17-6f710a3f0ca8-image.png

    # 现在部署它:

    kubectl create -f echoserver.yaml
    

    接下来,我们将为Ingress创建一个更新的配置。为此,我们将从中复制Ingress资源cnawebapp-ingress-alb.yaml,并在路由部分进行两项更改:

    1.将yelb的路径从/*更新到/以免干扰echoserver;和

    2.添加新的/echo路径指向echoserver

    注意:我们之所以要包含完整的资源定义而不是仅仅应用差异部分,是因为Ingress对象不支持战略性合并修补。

    #更新的Ingress资源:

    ef80d02a-2c27-4be4-84cf-aef0facd37f1-image.png

    #现在部署它:

    kubectl apply -f ingress-paths.yaml
    

    这里会显示一个关于kubectl apply的警告,这个警告可以忽略。因为我们的更新资源在本质上与rules配置相同。

    更新的配置在几秒钟内生效,之后我们就可以检查基于URL的路由是否有效。当我们请求基本URL /(或为空)时,我们应该到达Yelb,如果请求/echo,我们应该返回的输出是EchoServer。

    #获得Ingress的基本URL

    baseUrl=$(kubectl get ing yelb-ui | grep amaz | awk '{print $3}')
    echo "Our Ingress is at: ${baseUrl}"
    

    #尝试访问$baseUrl ; 应当可以得到Yelb UI页面的内容

    curl http://${baseUrl}
    

    #现在尝试/echo ; 应当得到EchoServer的输出

    curl http://${baseUrl}/echo
    

    服务多个DNS域

    当您拥有多个域名,并且为每个域提供不同的应用程序,同时希望共享相同的Ingress基础结构,此场景中的解决方案就很有用。这有助于节省成本,并且在某些情况下,与每个域名拥有专用的Ingress实例相比,其复杂性更低。

    此练习建立在上一个基于URL定向请求的练习的基础上。如果尚未完成,请回顾此前步骤,简单地剪切并粘贴创建和部署echoserver.yaml清单的步骤。我们将为Ingress新建一个,因此无需创建和部署ingress-paths.yaml。

    准备好后,您应该已经有了yelb的副本和echoserver的副本。您的Ingress配置是什么都无所谓,因为我们将覆盖它。

    在我们的目标状态下,Ingress将定义两个域名yelb.mydomain.com和echo.mydomain.com,并将根据Host:HTTP头中的值来路由传入的请求,Web浏览器会自动为您请求的URL的主机部分插入这些请求。

    这是目标状态的图:

    defd7409-a0c0-494e-b61a-5ee70f0371b7-image.png

    让我们为Ingress创建并部署配置,该配置将执行所需的路由:

    #更新的Ingress 资源:

    a36e3bc5-efab-4831-9a21-d4f1c7386e3b-image.png

    #现在部署它:

    kubectl apply -f ingress-hosts.yaml
    

    配置成功应用后,我们就可以进行测试了。由于域名和主机形成映射,因此我们将利用curl添加正确的Host:标头。当设置为yelb.mydomain.com,应该到达Yelb,设置为echo.mydomain.com时,应该返回输出EchoServer。

    #Get the base URL of our Ingress

    baseUrl=$(kubectl get ing yelb-ui | grep amaz | awk '{print $3}')
    echo "Our Ingress is at: ${baseUrl}"
    

    #访问Ingress Host: 设置成 yelb; 我们应当可以得到Yelb UI页面的内容

    curl http://${baseUrl} -H "Host: yelb.mydomain.com"
    

    #现场尝试访问Host:设置成 echo;我们应当可以得到 EchoServer的输出

    curl http://${baseUrl} -H "Host: echo.mydomain.com"
    

    清理

    一旦进行了足够的测试,请随时清理:

    #删除“yelb”和“echoserver”应用:

    kubectl delete -f cnawebapp-ingress-alb.yaml
    kubectl delete -f echoserver.yaml
    

    #删除我们创建的额外的清单:

    rm -f echoserver.yaml ingress-paths.yaml ingress-hosts.yaml
    

    回顾和下一步

    Kubernetes提供了三种将应用程序公开给外界的基本方式: LoadBalancer或NodePort服务类型以及Ingress。前两个协议支持任意协议,但在协议智能方面并没有增加太多。另一方面,Ingress提供了基于协议的功能,这使其仅与HTTP或HTTPS的应用程序兼容。

    与其他功能类似,Kubernetes需要一个控制器来实现实际的Ingress功能——简单地在Kubernetes API中创建Ingress资源并不能执行任何操作。Ingress控制器是Kubernetes集群管理员必须安装、监视、修补和升级的软件的一部分。Tungsten Fabric随附有Ingress控制器,这将使此过程更加容易。

    一旦确定了应用程序该如何公开于Internet,就需要考虑如何处理有关网络访问控制的问题。阅读本指南中的用例3和用例4,我们将介绍其中的一些场景。

    更多TF+K8s文章
    第一篇:TF Carbide 评估指南--准备篇
    第二篇:通过Kubernetes的服务进行基本应用程序连接


Log in to reply