6.8. 配置 Ingress Controller

先决条件

• 您必须在 PEM 编码文件中有一个证书/密钥对，其中该证书由可信证书认证机构签名，或者由您在一个自定义 PKI 中配置的私有可信证书认证机构签名。

• 您的证书满足以下要求：

  • 该证书对入口域有效。
  • 证书使用 subjectAltName 扩展来指定通配符域，如 *.apps.ocp4.example.com。

• 您必须有一个 IngressController CR。您可以使用默认值：

  $ oc --namespace openshift-ingress-operator get ingresscontrollers

  输出示例

  NAME      AGE
  default   10m

先决条件

• 您可以使用具有 cluster-admin 角色的用户访问集群。
• 已安装 OpenShift CLI(oc)。
• 您之前为 Ingress Controller 配置了自定义默认证书。

流程

• 要删除自定义证书并恢复 OpenShift Container Platform 附带的证书，请输入以下命令：

  $ oc patch -n openshift-ingress-operator ingresscontrollers/default \
    --type json -p $'- op: remove\n  path: /spec/defaultCertificate'

  集群协调新证书配置时可能会有延迟。

验证

• 要确认原始集群证书已被恢复，请输入以下命令：

  $ echo Q | \
    openssl s_client -connect console-openshift-console.apps.<domain>:443 -showcerts 2>/dev/null | \
    openssl x509 -noout -subject -issuer -enddate

  其中：

  <domain>

  指定集群的基域名。

  输出示例

  subject=CN = *.apps.<domain>
  issuer=CN = ingress-operator@1620633373
  notAfter=May 10 10:44:36 2023 GMT

先决条件

• 以具有 cluster-admin 特权的用户身份登录。

• 要配置 Ingress 访问日志记录，您必须使用 spec.logging.access.destination 指定一个目的地。要将日志记录指定到 sidecar 容器，您必须指定 Container spec.logging.access.destination.type。以下示例是将日志记录到 Container 目的地的 Ingress Controller 定义：

  apiVersion: operator.openshift.io/v1
  kind: IngressController
  metadata:
    name: default
    namespace: openshift-ingress-operator
  spec:
    replicas: 2
    logging:
      access:
        destination:
          type: Container

• 当将 Ingress Controller 配置为日志记录到 sidecar 时，Operator 会在 Ingress Controller Pod 中创建一个名为 logs 的容器：

  $ oc -n openshift-ingress logs deployment.apps/router-default -c logs

  输出示例

  2020-05-11T19:11:50.135710+00:00 router-default-57dfc6cd95-bpmk6 router-default-57dfc6cd95-bpmk6 haproxy[108]: 174.19.21.82:39654 [11/May/2020:19:11:50.133] public be_http:hello-openshift:hello-openshift/pod:hello-openshift:hello-openshift:10.128.2.12:8080 0/0/1/0/1 200 142 - - --NI 1/1/0/0/0 0/0 "GET / HTTP/1.1"

• 要配置 Ingress 访问日志记录，您必须使用 spec.logging.access.destination 指定一个目的地。要将日志记录指定到 Syslog 端点目的地，您必须为 spec.logging.access.destination.type 指定 Syslog。如果目的地类型是 Syslog，则必须使用 spec.logging.access.destination.syslog.endpoint 指定一个目的地端点，并可使用 spec.logging.access.destination.syslog.facility 指定一个工具。以下示例是将日志记录到 Syslog 目的地的 Ingress Controller 定义：

  apiVersion: operator.openshift.io/v1
  kind: IngressController
  metadata:
    name: default
    namespace: openshift-ingress-operator
  spec:
    replicas: 2
    logging:
      access:
        destination:
          type: Syslog
          syslog:
            address: 1.2.3.4
            port: 10514

  注意

  Syslog 目的地端口必须是 UDP。

• 您可以指定 spec.logging.access.httpLogFormat 来自定义日志格式。以下示例是一个 Ingress Controller 定义，它将日志记录到 IP 地址为 1.2.3.4、端口为 10514 的 syslog 端点：

  apiVersion: operator.openshift.io/v1
  kind: IngressController
  metadata:
    name: default
    namespace: openshift-ingress-operator
  spec:
    replicas: 2
    logging:
      access:
        destination:
          type: Syslog
          syslog:
            address: 1.2.3.4
            port: 10514
        httpLogFormat: '%ci:%cp [%t] %ft %b/%s %B %bq %HM %HU %HV'

• 要禁用 Ingress 访问日志，请保留 spec.logging 或 spec.logging.access 为空：

  apiVersion: operator.openshift.io/v1
  kind: IngressController
  metadata:
    name: default
    namespace: openshift-ingress-operator
  spec:
    replicas: 2
    logging:
      access: null

先决条件

• 以下假设您已创建了 Ingress Controller。

流程

• 更新 Ingress Controller 以增加线程数量：

  $ oc -n openshift-ingress-operator patch ingresscontroller/default --type=merge -p '{"spec":{"tuningOptions": {"threadCount": 8}}}'

  注意

  如果您的节点有能力运行大量资源，您可以使用与预期节点容量匹配的标签配置 spec.nodePlacement.nodeSelector，并将 spec.tuningOptions.threadCount 配置为一个适当的高值。

• 在 Ingress Controller 或路由器与一些路由之间实现平衡，由此加快对变更的响应。
• 分配特定的路由，使其具有不同于其它路由的可靠性保证。
• 允许特定的 Ingress Controller 定义不同的策略。
• 只允许特定的路由使用其他功能。
• 在不同的地址上公开不同的路由，例如使内部和外部用户能够看到不同的路由。

• 您可以使用 OpenShift Ingress Controller Load Balancer 在外部使用云供应商负载均衡器或内部加载负载。
• 您可以使用负载均衡器的单个 IP 地址以及更熟悉的端口，如 8080 和 4200，如图形中所述的集群所示。
• 来自外部负载均衡器的流量定向到 pod，并由负载均衡器管理，如下节点的实例中所述。有关实现详情请查看 Kubernetes 服务文档 。

先决条件

• 安装 OpenShift CLI（oc）。
• 以具有 cluster-admin 特权的用户身份登录。

先决条件

• 您已在 GCP 基础架构上部署了 OpenShift Container Platform 集群。
• 已将 Ingress Controller 配置为使用内部负载均衡器。
• 已安装 OpenShift CLI（oc）。

先决条件

• 安装 OpenShift CLI（oc）。
• 以具有 cluster-admin 特权的用户身份登录。

先决条件

• 必须具有集群管理员权限。

流程

• 使用以下命令编辑 ingresscontroller 资源变量的.spec. routeAdmission 字段：

  $ oc -n openshift-ingress-operator patch ingresscontroller/default --patch '{"spec":{"routeAdmission":{"namespaceOwnership":"InterNamespaceAllowed"}}}' --type=merge

  Ingress 控制器配置参数

  spec:
    routeAdmission:
      namespaceOwnership: InterNamespaceAllowed
  ...

  提示

  您还可以应用以下 YAML 来配置路由准入策略：

  apiVersion: operator.openshift.io/v1
  kind: IngressController
  metadata:
    name: default
    namespace: openshift-ingress-operator
  spec:
    routeAdmission:
      namespaceOwnership: InterNamespaceAllowed

• 配置将 X-Forwarded-For 标头注入每个请求的外部代理，然后将其转发到 Ingress Controller。

  要将 Ingress Controller 配置为通过未修改的标头传递，您需要指定 never 策略。然后，Ingress Controller 不会设置标头，应用程序只接收外部代理提供的标头。

• 将 Ingress Controller 配置为通过未修改的外部代理在外部集群请求上设置 X-Forwarded-For 标头。

  要将 Ingress Controller 配置为在不通过外部代理的内部集群请求上设置 X-Forwarded-For 标头，请指定 if-none 策略。如果 HTTP 请求已经通过外部代理设置了标头，则 Ingress Controller 会保留它。如果缺少标头，因为请求没有通过代理，Ingress Controller 会添加标头。

• 配置特定于应用程序的外部代理来注入 X-Forwarded-For 标头。

  要配置 Ingress Controller，以便在不影响其他路由策略的情况下将标头传递到应用程序的路由，请在应用程序的路由上添加注解 haproxy.router.openshift.io/set-forwarded-headers: if-none 或 haproxy.router.openshift.io/set-forwarded-headers: never。

  注意

  您可以根据每个路由设置 haproxy.router.openshift.io/set-forwarded-headers 注解，独立于 Ingress Controller 的全局设置值。

• 要在 Ingress Controller 上启用 HTTP/2，请输入 oc annotate 命令：

  $ oc -n openshift-ingress-operator annotate ingresscontrollers/<ingresscontroller_name> ingress.operator.openshift.io/default-enable-http2=true

  将 <ingresscontroller_name> 替换为要注解的 Ingress Controller 的名称。

• 要为整个集群启用 HTTP/2，请输入 oc annotate 命令：

  $ oc annotate ingresses.config/cluster ingress.operator.openshift.io/default-enable-http2=true

  提示

  您还可以应用以下 YAML 来添加注解：

  apiVersion: config.openshift.io/v1
  kind: Ingress
  metadata:
    name: cluster
    annotations:
      ingress.operator.openshift.io/default-enable-http2: "true"

先决条件

• 已创建一个 Ingress Controller。

先决条件

• 已部署 OpenShift Container Platform 集群。
• 已安装 oc 命令行界面。

先决条件

• 已安装 OpenShift CLI(oc)。
• 您可以使用具有 cluster-admin 角色的用户访问集群。

• 使用 oc patch 命令设置一个 HTTP 标头的大小写情况。

  1. 输入 oc patch 命令将 HTTP host 标头改为 Host：

     $ oc -n openshift-ingress-operator patch ingresscontrollers/default --type=merge --patch='{"spec":{"httpHeaders":{"headerNameCaseAdjustments":["Host"]}}}'

  2. 注解应用程序的路由：

     $ oc annotate routes/my-application haproxy.router.openshift.io/h1-adjust-case=true

     然后，Ingress Controller 会根据指定调整 host 请求标头。

• 通过配置 Ingress Controller YAML 文件，使用 HeaderNameCaseAdjustments 字段指定调整。

  1. 以下 Ingress Controller YAML 示例将 HTTP/1 请求的 host 标头调整为 Host，以便可以适当地注解路由：

     Ingress Controller YAML 示例

     apiVersion: operator.openshift.io/v1
     kind: IngressController
     metadata:
       name: default
       namespace: openshift-ingress-operator
     spec:
       httpHeaders:
         headerNameCaseAdjustments:
         - Host

  2. 以下示例路由中，使用 haproxy.router.openshift.io/h1-adjust-case 注解启用对 HTTP 响应标头名称的大小写调整：

     路由 YAML 示例

     apiVersion: route.openshift.io/v1
     kind: Route
     metadata:
       annotations:
         haproxy.router.openshift.io/h1-adjust-case: true 1
       name: my-application
       namespace: my-application
     spec:
       to:
         kind: Service
         name: my-application

     1

     将 haproxy.router.openshift.io/h1-adjust-case 设置为 true。