6.3. Ingress Controller 配置参数

domain

domain 是 Ingress Controller 服务的一个 DNS 名称，用于配置多个功能：

domain 值在所有 Ingress 控制器中需要是唯一的，且不能更新。

如果为空，默认值为 ingress.config.openshift.io/cluster .spec.domain。

replicas

replicas 是 Ingress 控制器副本数量。如果没有设置，则默认值为 2。

endpointPublishingStrategy

endpointPublishingStrategy 用于向其他网络发布 Ingress Controller 端点，以启用负载均衡器集成，并提供对其他系统的访问。

如果没有设置，则默认值基于 infrastructure.config.openshift.io/cluster .status.platform：

对于大多数平台，可以更新 endpointPublishingStrategy 值。在 GCP 上，您可以配置以下 endpointPublishingStrategy 字段：

defaultCertificate

defaultCertificate 的值是一个到包括由 Ingress controller 提供的默认证书的 secret 的指代。当 Routes 没有指定其自身证书时，使用 defaultCertificate。

secret 必须包含以下密钥和数据：* tls.crt：证书文件内容 * tls.key：密钥文件内容

如果没有设置，则自动生成和使用通配符证书。该证书对 Ingress Controller 的域 和子域有效，所生成的证书的 CA 会自动与集群的信任存储集成。

内部证书（无论是生成的证书还是用户指定的证书）自动与 OpenShift Container Platform 内置的 OAuth 服务器集成。

namespaceSelector

namespaceSelector 用来过滤由 Ingress 控制器提供服务的一组命名空间。这对实现分片（shard）非常有用。

routeSelector

routeSelector 用于由 Ingress Controller 提供服务的一组 Routes。这对实现分片（shard）非常有用。

nodePlacement

NodePlacement 启用对 Ingress Controller 调度的显式控制。

如果没有设置，则使用默认值。

nodePlacement:
 nodeSelector:
   matchLabels:
     kubernetes.io/os: linux
 tolerations:
 - effect: NoSchedule
   operator: Exists

tlsSecurityProfile

tlsSecurityProfile 指定 Ingress Controller 的 TLS 连接的设置。

如果没有设置，则默认值基于 apiservers.config.openshift.io/cluster 资源。

当使用 Old、Intermediate 和 Modern配置集类型时，有效的配置集可能会在不同发行版本间有所改变。例如：使用在版本 X.Y.Z 中部署的 Intermediate 配置集，升级到版本 X.Y.Z+1 可能会导致新的配置集配置应用到 Ingress Controller，从而导致一个 rollout 操作。

Ingress Controller 的最低 TLS 版本是 1.1，最高 TLS 版本为 1.3。

clientTLS

clientTLS 验证客户端对集群和服务的访问；因此，启用了 mutual TLS 身份验证。如果没有设置，则不启用客户端 TLS。

clientTLS 具有所需的子字段 spec.clientTLS.clientCertificatePolicy 和 spec.clientTLS.ClientCA。

ClientCertificatePolicy 子字段接受以下两个值之一：Required 或 Optional。ClientCA 子字段指定 openshift-config 命名空间中的配置映射。配置映射应包含 CA 证书捆绑包。

AllowedSubjectPatterns 是一个可选值，用于指定正则表达式列表，该列表与有效客户端证书上的可分辨名称匹配以过滤请求。正则表达式必须使用 PCRE 语法。至少一种模式必须与客户端证书的可分辨名称匹配；否则，入口控制器拒绝证书，并拒绝连接。如果没有指定，ingress 控制器不会根据可分辨的名称拒绝证书。

routeAdmission

routeAdmission 定义了处理新路由声明的策略，如允许或拒绝命名空间间的声明。

namespaceOwnership 描述了如何处理跨命名空间的主机名声明。默认为 Strict。

wildcardPolicy 描述了 Ingress Controller 如何处理采用通配符策略的路由。

IngressControllerLogging

logging 定义了有关在哪里记录什么内容的参数。如果此字段为空，则会启用运行日志，但禁用访问日志。

httpHeaders

httpHeaders 为 HTTP 标头定义策略。

通过为 IngressControllerHTTPHeaders 设置 forwardHeaderPolicy，您可以指定 Ingress 控制器何时和如何设置 Forwarded、X-Forwarded-For、X-Forwarded-Host、X-Forwarded-Port、X-Forwarded-Proto 和 X-Forwarded-Proto-Version HTTP 标头。

默认情况下，策略设置为 Append。

通过设置 headerNameCaseAdjustments，您可以指定 HTTP 标头名对大小写的调整。每个调整都指定一个 HTTP 标头名称需要进行相关的大小写调整。例如，指定 X-Forwarded-For 表示 x-forwarded-for HTTP 标头应调整相应的大写。

这些调整仅应用于明文、边缘终止和重新加密路由，且仅在使用 HTTP/1 时有效。

对于请求标头，这些调整仅适用于具有 haproxy.router.openshift.io/h1-adjust-case=true 注解的路由。对于响应标头，这些调整适用于所有 HTTP 响应。如果此字段为空，则不会调整任何请求标头。

httpCompression

httpCompression 定义 HTTP 流量压缩的策略。

httpErrorCodePages

httpErrorCodePages 指定自定义 HTTP 错误代码响应页面。默认情况下，IngressController 使用 IngressController 镜像内构建的错误页面。

httpCaptureCookies

httpCaptureCookies 指定您要在访问日志中捕获的 HTTP cookie。如果 httpCaptureCookies 字段为空，则访问日志不会捕获 Cookie。

对于您要捕获的任何 Cookie，以下参数必须位于 IngressController 配置中：

例如：

  httpCaptureCookies:
  - matchType: Exact
    maxLength: 128
    name: MYCOOKIE

httpCaptureHeaders

httpCaptureHeaders 指定要在访问日志中捕获的 HTTP 标头。如果 httpCaptureHeaders 字段为空，则访问日志不会捕获标头。

httpCaptureHeaders 包含两个要在访问日志中捕获的标头列表。这两个标题字段列表是 request 和 response。在这两个列表中，name 字段必须指定标头名称和 maxlength 字段，必须指定标头的最大长度。例如：

  httpCaptureHeaders:
    request:
    - maxLength: 256
      name: Connection
    - maxLength: 128
      name: User-Agent
    response:
    - maxLength: 256
      name: Content-Type
    - maxLength: 256
      name: Content-Length

tuningOptions

tuningOptions 指定用于调整 Ingress Controller pod 性能的选项。

logEmptyRequests

logEmptyRequests 指定没有接收和记录请求的连接。这些空请求来自负载均衡器健康探测或 Web 浏览器规范连接(preconnect)，并记录这些请求。但是，这些请求可能是由网络错误导致的，在这种情况下，记录空请求可用于诊断错误。这些请求可能是由端口扫描导致的，记录空请求有助于检测入侵尝试。此字段允许的值有 Log 和 Ignore。默认值为 Log。

LoggingPolicy 类型接受以下两个值之一：

HTTPEmptyRequestsPolicy

HTTPEmptyRequestsPolicy 描述了在收到请求前发生超时时，如何处理 HTTP 连接。此字段允许的值是 Respond 和 Ignore。默认值为 Respond。

HTTPEmptyRequestsPolicy 类型接受以下两个值之一：

这些连接来自负载均衡器健康探测或 Web 浏览器规范连接（预连接），可以安全地忽略。但是，这些请求可能是由网络错误造成的，因此将此字段设置为 Ignore 可能会妨碍对问题的检测和诊断。这些请求可能是由端口扫描导致的，在这种情况下，记录空请求有助于检测入侵尝试。