创建并使用ALB Ingress对外暴露服务_容器服务 Kubernetes 版 ACK(ACK)-阿里云帮助中心

ACK集群中的服务默认与外部网络隔离。ALB Ingress通过使用具备域名路由、安全防护和高可用能力的应用型负载均衡 ALB作为外部流量入口，以满足将集群内部服务暴露给用户访问的需求。

工作原理

资源关联
AlbConfig资源对象定义了ALB实例的具体配置（如功能版本、监听等），与ALB实例为一对一的关联关系。Ingress中定义的路径映射和关联的Service，将自动转化为ALB实例的路由规则和服务器组配置。
动态同步
ALB Ingress Controller通过API Server动态地获取Ingress和AlbConfig资源的变化，然后动态更新ALB实例。
流量转发
与Nginx Ingress Controller不同，ALB Ingress Controller是托管组件，作为ALB实例的控制面，不直接处理用户请求流量，用户流量的转发由ALB实例来处理，并最终转发到Service所代理的后端Pod上。

Service类型限制

当使用flannel网络插件时，ALB Ingress后端Service仅支持NodePort和LoadBalancer类型。

安装ALB Ingress Controller组件

创建集群时安装

为已有集群安装

登录容器服务管理控制台，单击创建集群。
在组件配置阶段的Ingress配置区域，选择安装ALB Ingress。

以新建ALB实例为例，然后按照页面提示创建集群。

实例来源		说明
新建		自动创建ALB实例、AlbConfig和IngressClass。 ALB实例：在集群VPC内自动创建一个标准版、按量付费的公网/私网ALB实例，并配置`HTTP:80`监听。 AlbConfig和IngressClass：在集群中自动创建与ALB实例关联的AlbConfig和IngressClass资源对象。


使用已有仅当集群网络配置为使用已有专有网络时可选		使用一个已有的ALB实例，并自动创建AlbConfig和IngressClass。该ALB实例的功能版本需为标准版或WAF增强版，网络类型需为与集群同VPC的公网/私网类型，且未被其他集群关联。
暂不创建		仅安装ALB Ingress Controller组件，后续需手动创建AlbConfig和IngressClass，适用于需要自定义ALB实例配置的场景。

登录容器服务管理控制台，在左侧导航栏选择集群列表。
在集群列表页面，单击目标集群名称，然后在左侧导航栏，单击组件管理。
通过搜索栏或者网络页签找到组件，在ALB Ingress Controller组件卡片的右下角，单击安装。

以新建ALB实例为例，然后单击确认。

实例来源		说明
新建		自动创建ALB实例、AlbConfig和IngressClass。 ALB实例：在集群VPC内自动创建一个标准版、按量付费的公网/私网ALB实例，并配置`HTTP:80`监听。 AlbConfig和IngressClass：在集群中自动创建与ALB实例关联的AlbConfig和IngressClass资源对象。


使用已有		使用一个已有的ALB实例，并自动创建AlbConfig和IngressClass。该ALB实例的功能版本需为标准版或WAF增强版，网络类型需为与集群同VPC的公网/私网类型，且未被其他集群关联。
暂不创建		仅安装ALB Ingress Controller组件，后续需手动创建AlbConfig和IngressClass，适用于需要自定义ALB实例配置的场景。

创建示例应用

示例应用将部署一个名称为coffee的无状态工作负载（Deployment）以及对应的coffee-svc服务（Service）。

控制台

kubectl

在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择工作负载 > 无状态。

单击使用YAML创建资源，示例模板选择自定义。然后将以下内容复制到模板区域，单击创建。

示例应用YAML

apiVersion: apps/v1
kind: Deployment
metadata:
  name: coffee
  namespace: default
spec:
  replicas: 2
  selector:
    matchLabels:
      app: coffee
  template:
    metadata:
      labels:
        app: coffee
    spec:
      containers:
      - name: coffee
        image: registry.cn-hangzhou.aliyuncs.com/acs-sample/nginxdemos:latest
        ports:
        - containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: coffee-svc
  namespace: default
spec:
  ports:
  - port: 80
    targetPort: 80
    protocol: TCP
  selector:
    app: coffee
  type: ClusterIP

在弹窗提示中单击查看，确认Pod状态为Running。

获取集群KubeConfig并通过kubectl工具连接集群。

使用以下内容创建coffee-deployment-service.yaml文件。

示例应用YAML

apiVersion: apps/v1
kind: Deployment
metadata:
  name: coffee
  namespace: default
spec:
  replicas: 2
  selector:
    matchLabels:
      app: coffee
  template:
    metadata:
      labels:
        app: coffee
    spec:
      containers:
      - name: coffee
        image: registry.cn-hangzhou.aliyuncs.com/acs-sample/nginxdemos:latest
        ports:
        - containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: coffee-svc
  namespace: default
spec:
  ports:
  - port: 80
    targetPort: 80
    protocol: TCP
  selector:
    app: coffee
  type: ClusterIP

创建示例应用的Deployment和Service。

kubectl apply -f coffee-deployment-service.yaml

确认Pod状态为Running。

 kubectl get pod -l app=coffee

预期输出：

NAME                      READY   STATUS    RESTARTS   AGE
coffee-84bd6*****-*****   1/1     Running   0          4m22s
coffee-84bd6*****-*****   1/1     Running   0          4m22s

创建ALB Ingress

通过配置ALB Ingress的域名和路径映射，实现访问ingress-demo.com/coffee域名即可路由至集群内部coffee-svc服务的功能。

在ACK专有集群中使用ALB Ingress，需要授予ALB Ingress Controller访问权限。

控制台

kubectl

在左侧导航栏，选择网络 > 路由。选择default命名空间，单击创建 Ingress。

添加以下Ingress配置，单击确定。

名称：coffee-ingress
域名：ingress-demo.com

路径映射：路径：/coffee，匹配规则：前缀匹配（Prefix），服务名称：coffee-svc，端口：80。

匹配规则（pathType）	说明
前缀匹配（Prefix）	匹配请求URL路径的前缀部分。例如，可匹配`/coffee/1`或`/coffee/buy/1`路径，但不能匹配`/cof`或`/coffeebuy/1`。
完整匹配（Exact）	完全匹配请求URL路径。仅`/coffee`路径可匹配。
默认（ImplementationSpecific）	由Ingress Controller实现的具体逻辑决定。在ALB Ingress Controller中为完整匹配（Exact）。

获取端点地址。
ALB Ingress生效过程耗时约10秒，可稍后单击刷新按钮获取端点信息。若长时间未更新端点信息，可单击路由名称，进入事件页签，进行异常问题排查。

测试访问域名和端点地址，若HTTP状态码为200即表示ALB Ingress已创建成功。

curl -H "Host:ingress-demo.com" http://<端点地址>/coffee -s -o /dev/null -w "%{http_code}\n"

创建ALB Ingress。将以下YAML内容保存为coffee-ingress.yaml文件，然后执行kubectl apply -f coffee-ingress.yaml命令。

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: coffee-ingress
  namespace: default
spec:
  ingressClassName: alb
  rules:
  - host: ingress-demo.com
    http:
      paths:
      - path: /coffee
        backend:
          service: 
            name: coffee-svc
            port:
              number: 80
        pathType: Prefix

匹配规则（pathType）	说明
前缀匹配（Prefix）	匹配请求URL路径的前缀部分。例如，可匹配`/coffee/1`或`/coffee/buy/1`路径，但不能匹配`/cof`或`/coffeebuy/1`。
完整匹配（Exact）	完全匹配请求URL路径。仅`/coffee`路径可匹配。
默认（ImplementationSpecific）	由Ingress Controller实现的具体逻辑决定。在ALB Ingress Controller中为完整匹配（Exact）。

查看Ingress并获取ADDRESS字段中的端点地址。

kubectl get ingress coffee-ingress -o jsonpath='{.status.loadBalancer.ingress[0].hostname}'

预期输出：

alb-******************.cn-wulanchabu.alb.aliyuncsslb.com

测试访问域名和端点地址，若HTTP状态码为200即表示ALB Ingress已创建成功。

curl -H "Host:ingress-demo.com" http://<端点地址>/coffee -s -o /dev/null -w "%{http_code}\n"

计费说明

ALB Ingress Controller组件：该组件为ACK托管组件，不涉及用户侧的资源使用和计费。
ALB实例：每个AlbConfig资源对象会创建一个对应的ALB实例，ALB实例的计费规则为按量付费。

应用于生产环境

配置域名解析：将业务域名通过CNAME记录解析至ALB实例提供的公网访问地址，以解耦域名与ALB实例访问地址，确保服务入口的高可用与灵活配置。
配置HTTPS安全加密：在数字证书管理服务中统一管理证书，并在Ingress资源的tls字段中声明式地引用该证书，从而实现服务流量的HTTPS安全加密。

配额与限制

AlbConfig、Ingress、Service和Namespace的资源名称不能以aliyun开头。
ALB Ingress的配额限制，请参见ALB配额计算方式。
ALB Ingress支持的地域与可用区，请参见ALB支持的地域与可用区。

常见问题

为什么访问Ingress域名返回了503、502、404等HTTP错误码？

问题原因

503（Service Temporarily Unavailable）错误
- 路由规则未匹配：请求路径与Ingress实际配置的路由规则不符。
- 后端无存活Pod：Service关联的Pod全部未就绪或不存在，导致Endpoints对象为空。
502（Bad Gateway）错误
HTTP或HTTPS监听接收到客户端连接请求后，ALB由于无法正常将请求转发至Pod或无法从Pod收到响应，则会向客户端发送HTTP 502 Bad Gateway状态码。
404（Not Found）错误
通常原因为已匹配Ingress中定义的路由规则，但与Pod中应用实际提供服务的URL不匹配。

更多HTTP错误码说明，请参见ALB状态码说明。

解决方案

检查Ingress状态：执行kubectl describe ingress <ingress-name> -n <namespace>命令，查看Events部分是否有错误信息。如出现类似listener is not exist in alb的事件，请在AlbConfig中创建Ingress资源所需的监听。

...
Events:
  Type     Reason                  Age     From     Message
  ----     ------                  ----    ----     -------
  Warning  FailedBuildModel        ****    ingress  listener is not exist in alb, port: 443, protocol: HTTPS
  Warning  FailedBuildModel        ****    ingress  listener not found for (443/HTTPS), with ingresses 1
...

检查后端Endpoints：执行kubectl get endpoints <service-name> -n <namespace>命令，确认ENDPOINTS字段下有至少一个健康的Pod IP和端口。若为空，则排查Service的selector是否与Pod的labels匹配，以及Pod是否处于Running状态。
检查Pod状态与日志：先执行kubectl get pod -l <app=your-app> -n <namespace>命令，查看Pod运行状态。获取Pod名称之后执行kubectl logs <pod-name> -n <namespace>命令，查看应用日志是否有启动失败或处理请求的错误信息。
网络连通性测试：在Pod内或节点上尝试curl后端Service的ClusterIP或Pod IP，验证集群内部服务是否可达。

配置Ingress TLS后，为什么HTTPS还是无法访问？