ALB Ingress基于阿里云应用型负载均衡ALB(Application Load Balancer)之上提供更为强大的Ingress流量管理方式,兼容Nginx Ingress,具备处理复杂业务路由和证书自动发现的能力,支持HTTP、HTTPS和QUIC协议。在ACS集群中使用ALB Ingress能够满足在云原生应用场景下对超强弹性和大规模七层流量处理能力的需求。
ALB Ingress工作原理
ALB Ingress涉及到以下基本概念:
- ALB Ingress Controller:负责管理Ingress资源的组件。它通过API Server动态地获取Ingress资源和AlbConfig资源的变化,然后更新ALB实例。与Nginx Ingress Controller不同,ALB Ingress Controller 是 ALB 实例的控制面,负责管理 ALB 实例,但不直接处理用户流量。用户流量的转发由 ALB 实例来实现。ALB Ingress Controller会通过集群API Server动态地获取Ingress资源的变化,并依照Ingress所描述的转发规则动态地更新ALB实例。 
- AlbConfig(集群级 CRD):AlbConfig是由ALB Ingress Controller创建的一种集群级 CRD (Custom Resource Definition) 。AlbConfig中的参数决定了ALB实例的配置。一个AlbConfig对应一个ALB实例。ALB实例是用户请求流量的入口,负责将用户请求转发到后端Service中。它由应用型负载均衡ALB完全托管。相比于Nginx Ingress Controller,ALB Ingress免于运维,并且拥有更强大的弹性。 
- IngressClass:IngressClass定义了某一个Ingress与某一个AlbConfig的关联。 
- Ingress:Ingress是Kubernetes中用于定义外部流量路由规则和访问规则的资源对象,ALB Ingress Controller通过监测Ingress资源的变化并更新ALB实例以实现流量转发。 
- Service:在Kubernetes中,Pod被认为是临时资源,是不稳定而多变的。Service为具有相同功能的Pod提供了一个稳定、统一的入口。其他应用程序或服务可以通过访问Service的虚拟IP和端口来与后端Pod进行通信,而无需关注Pod可能发生的变化。 
ALB实例与ALB Ingress之间的逻辑关系如下所示:
使用限制
AlbConfig、Namespace、Ingress和Service这些资源的名称不能以aliyun开头。
场景示例
本教程以四个部署了Nginx的Pod为例,演示如何通过配置ALB Ingress,实现相同域名不同URL路径的流量转发。
| 前端请求 | 流量转发至 | 
| 
 | 
 | 
| 
 | 
 | 
前提条件
- 已创建两个不同可用区的交换机,且与集群处于同一VPC。具体操作,请参见创建和管理交换机。 
步骤一:部署后端服务
使用控制台部署
- 登录容器计算服务控制台,在左侧导航栏选择集群列表。 
- 在集群列表页面,单击目标集群名称,然后在左侧导航栏,选择。 
- 在无状态页面,单击右上角的使用YAML创建资源。 
- 进入创建页面。 - 示例模板:选择自定义。 
- 模板:输入YAML配置文件代码。该配置文件用于部署两个名称分别为 - coffee和- tea的Deployment,以及两个名称分别为- coffee-svc和- tea-svc的Service。
 
- 配置完成后单击创建,页面将提示创建成功。 
- 检查Deployment和Service创建成功: - 在左侧导航栏,选择工作负载 > 无状态。可以查看到名称为coffee和tea的Deployment已部署。 
- 在左侧导航栏,选择网络 > 服务。可查看到名称为coffee-svc和tea-svc的Service已部署。 
 
使用kubectl部署
- 使用以下内容创建cafe-service.yaml,用于部署两个名称分别为 - coffee和- tea的Deployment,以及两个名称分别为- coffee-svc和- tea-svc的Service。
- 执行以下命令,部署两个Deployment和两个Service。 - kubectl apply -f cafe-service.yaml- 预期输出: - deployment "coffee" created service "coffee-svc" created deployment "tea" created service "tea-svc" created
- 执行以下命令,查看应用和服务的状态。 - 执行以下命令,查看应用的状态。 - kubectl get deployment- 预期输出: - NAME READY UP-TO-DATE AVAILABLE AGE coffee 2/2 2 2 2m26s tea 2/2 2 2 2m26s
- 执行以下命令,查看服务的状态。 - kubectl get svc- 预期输出: - NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE coffee-svc ClusterIP 172.16.XX.XX <none> 80/TCP 9m38s tea-svc ClusterIP 172.16.XX.XX <none> 80/TCP 9m38s
 
步骤二:创建ALBConfig
通过控制台创建ALBConfig
- 登录容器计算服务控制台,在左侧导航栏选择集群列表。 
- 在集群列表页面,单击目标集群名称,然后在左侧导航栏,选择工作负载 > 自定义资源。 
- 在资源定义(CustomResourceDefinition)页签中,单击使用YAML创建资源。 - 示例模板:选择自定义。 
- 模板:输入YAML配置文件代码。 - 可调整参数说明如下: - 参数 - 是否必填 - 说明 - metadata.name- 是 - ALBConfig的名称。 说明- ALBConfig的名称在集群中必须是唯一的。因此,在创建ALBConfig时,需确保ALBConfig名称的唯一性,以避免命名冲突。 - spec.config.name- 否 - ALB实例的名称。 - spec.config.addressType- 否 - ALB实例的网络类型。取值如下: - Internet(默认值):公网类型。面向公网提供应用型负载均衡服务,公网可访问。 说明- 应用型负载均衡通过绑定弹性公网IP进行公网服务,使用公网类型ALB实例将收取弹性公网IP的实例费与带宽、流量费用,详情参见按量付费。 
- Intranet:私网类型。面向VPC内部提供应用型负载均衡服务,公网不可访问。 
 - spec.config.zoneMappings- 是 - 设置ALB交换机ID。创建交换机具体操作请参见创建和管理交换机。 说明- 指定的交换机必须在ALB当前所支持的可用区内,且与集群处于同一VPC。关于ALB支持的地域与可用区,请参见ALB支持的地域与可用区。 
- 应用型负载均衡支持多可用区部署,若当前地域支持2个及以上可用区,为保障业务高可用,请至少选择2个或以上不同可用区的交换机。 
 - spec.listeners- 否 - 配置ALB的监听端口和协议。本文配置示例为端口80的HTTP监听。 - 监听定义了流量进入负载均衡的方式和规则,此处建议保留该配置,否则需要另行创建监听才可使用ALB Ingress。 
 
- 配置完成后单击创建,页面将提示创建成功。 
- 检查ALB实例创建成功: - 在顶部菜单栏,选择实例所属的地域。 
- 在实例页面,可以在实例列表中查看到名称为alb-test的ALB实例,表示实例创建成功。 
 
通过kubectl创建ALBConfig
- 拷贝以下内容到alb-test.yaml文件中,用于创建ALBConfig。 - 可调整参数说明如下: - 参数 - 是否必填 - 说明 - metadata.name- 是 - ALBConfig的名称。 说明- ALBConfig的名称在集群中必须是唯一的。因此,在创建ALBConfig时,需确保ALBConfig名称的唯一性,以避免命名冲突。 - spec.config.name- 否 - ALB实例的名称。 - spec.config.addressType- 否 - ALB实例的网络类型。取值如下: - Internet(默认值):公网类型。面向公网提供应用型负载均衡服务,公网可访问。 说明- 应用型负载均衡通过绑定弹性公网IP进行公网服务,使用公网类型ALB实例将收取弹性公网IP的实例费与带宽、流量费用,详情参见按量付费。 
- Intranet:私网类型。面向VPC内部提供应用型负载均衡服务,公网不可访问。 
 - spec.config.zoneMappings- 是 - 设置ALB交换机ID。创建交换机具体操作请参见创建和管理交换机。 说明- 指定的交换机必须在ALB当前所支持的可用区内,且与集群处于同一VPC。关于ALB支持的地域与可用区,请参见ALB支持的地域与可用区。 
- 应用型负载均衡支持多可用区部署,若当前地域支持2个及以上可用区,为保障业务高可用,请至少选择2个或以上不同可用区的交换机。 
 - spec.listeners- 否 - 配置ALB的监听端口和协议。本文配置示例为端口80的HTTP监听。 - 监听定义了流量进入负载均衡的方式和规则,此处建议保留该配置,否则需要另行创建监听才可使用ALB Ingress。 
- 执行以下命令,创建ALBConfig。 - kubectl apply -f alb-test.yaml- 预期输出: - albconfig.alibabacloud.com/alb-demo created- 可以看到ALBConfig已经创建成功。 
步骤三:创建IngressClass
IngressClass建议与ALBConfig一一对应。
通过控制台创建IngressClass
- 登录容器计算服务控制台,在左侧导航栏选择集群列表。 
- 在集群列表页面,单击目标集群名称,然后在左侧导航栏,选择工作负载 > 自定义资源。 
- 在资源定义(CustomResourceDefinition)页签中,单击使用YAML创建资源。 - 示例模板:选择自定义。 
- 模板:输入YAML配置文件代码。 - 可调整参数说明如下: - 参数 - 是否必填 - 说明 - metadata.name - 是 - IngressClass的名称。 说明- IngressClass的名称在集群中必须是唯一的。因此,在创建IngressClass时,需确保IngressClass名称的唯一性,以避免命名冲突。 - spec.parameters.name - 是 - 关联的ALBConfig的名称。 
 
- 配置完成后单击创建,页面将提示创建成功。 
- 检查IngressClass创建成功: - 在左侧导航栏,选择。 
- 选择资源对象浏览器页签。 
- 在API组搜索栏中,输入IngressClass进行搜索,可查看到对应的IngressClass已创建。 
 
通过kubectl创建IngressClass
- 创建并拷贝以下内容到alb.yaml文件中,用于创建IngressClass。 - 可调整参数说明如下: - 参数 - 是否必填 - 说明 - metadata.name- 是 - IngressClass的名称。 说明- IngressClass的名称在集群中必须是唯一的。因此,在创建IngressClass时,需确保IngressClass名称的唯一性,以避免命名冲突。 - spec.parameters.name- 是 - 关联的ALBConfig的名称。 
- 执行以下命令,创建IngressClass。 - kubectl apply -f alb.yaml- 预期输出: - ingressclass.networking.k8s.io/alb created
步骤四:创建Ingress
通过控制台创建Ingress
- 登录容器计算服务控制台,在左侧导航栏选择集群列表。 
- 在集群列表页面,单击目标集群名称,然后在左侧导航栏,选择网络 > 路由。 
- 在路由页面,单击创建 Ingress,在创建 Ingress对话框配置路由。 - 配置项 - 说明 - 示例值 - 网关类型 - 可按需选择ALB和MSE两种应用负载均衡网关类型。 - ALB Ingress - 名称 - 自定义路由名称。 - cafe-ingress - Ingress Class - 自定义Ingress的类。 - alb - 规则 - 单击+ 添加规则可新增多个路由规则。 - 域名:自定义域名。 
- 路径映射:配置如下配置项。 - 路径:指定服务访问的URL路径。本例中不做配置,保留根路径/。 
- 匹配规则:支持前缀匹配(Prefix)、完整匹配(Exact)和默认(ImplementationSpecific)。 
- 服务名称:选择目标服务,即K8s内的Service。 
- 端口:选择服务需要暴露的端口。 
 
- Ingress支持同一个域名下配置多条路径。单击+ 添加路径新增路径。 
 - 域名:demo.domain.ingress.top 
- 路径映射: - 路径:/tea 
- 匹配规则:默认(ImplementationSpecific) 
- 服务名称:tea-svc 
- 端口:80 
 
- 路径映射: - 路径:/coffee 
- 匹配规则:默认(ImplementationSpecific) 
- 服务名称:coffee-svc 
- 端口:80 
 
 - TLS配置 - 开启TLS配置开关,配置安全的路由服务。 - 域名:自定义域名。 
- 保密字典:根据需要选择对应的保密字典。 - 如需创建Secret,请执行如下操作。 - 在保密字典右侧,单击创建。 
- 在创建 Secret对话框,自定义保密字典的名称、Cert、Key,然后单击确定。 
- 在保密字典的下拉框,选择已创建的Secret。 
 
 - 单击+ 新增TLS配置,可配置多条TLS。 - 更多详情,请参见配置HTTPS证书以实现加密通信。 - 关闭TLS配置,此示例中不需要配置TLS。 - 更多配置 - 灰度发布:开启灰度发布开关。灰度规则可按照请求头、Cookie 、权重三个维度进行设置。 说明- 请求头、Cookie 、权重可以只设置一种,若同时设置生效规则按请求头、Cookie、权重顺序匹配。 - 按请求头:基于Request Header的流量切分,设置后会添加注解 - alb.ingress.kubernetes.io/canary-by-header、- alb.ingress.kubernetes.io/canary-by-header-value。
- 按Cookie:基于Cookie的流量切分,设置后会添加注解 - alb.ingress.kubernetes.io/canary-by-cookie。
- 按权重:设置请求到指定服务的百分比(值为0~100的整数),设置后会添加注解 - alb.ingress.kubernetes.io/canary-weight。
 
- 协议:指定后端服务的协议,设置后会添加注解 - alb.ingress.kubernetes.io/backend-protocol。- 支持HTTP、HTTPS、gRPC三种服务协议。 
- 重写路径:将客户端请求中的路径重写后发送到后端服务,设置后会添加注解alb.ingress.kubernetes.io/rewrite-target。 
 - 关闭灰度发布,协议和重写路径保持默认。此示例中不需要配置灰度发布、协议、重写路径。 - 自定义转发规则 - 开启自定义转发规则,可精细化管理入站流量。 说明- 转发规则的条件条目上限为10个。 - 在转发条件下拉框中选择: - 域名: - 匹配请求域名,如果设置了多个域名,则域名之间是或的关系。设置后会添加注解 - alb.ingress.kubernetes.io/conditions.host-example。
- 路径: - 匹配请求路径,如果设置了多个路径,则路径之间是或的关系。设置后会添加注解 - alb.ingress.kubernetes.io/conditions.path-example。
- HTTP标头: - 以键值对形式匹配请求的头部信息。例如,键是: - headername值是:- headervalue1。如果设置了多个Header值,则Header之间是或的关系。设置后会添加注解- alb.ingress.kubernetes.io/conditions.http-header-example。
 
- 在转发动作下拉框中选择: - 转发至 - 转发到后端多服务器组。在服务名称中,请选择目标服务。在端口中,选择目标端口号。然后自定义配置权重值。 说明- 选择转发至,就不需要配置规则中的路径映射。 
- 返回固定响应 - 设置通过ALB给客户端返回固定响应内容,可以设置响应状态码,正文内容和正文类型。按需求配置响应状态码,响应正文类型(可选)、响应正文(可选)。 - 响应正文类型: - text/plain:表示无格式的内容类型。 
- text/css:表示CSS格式的内容。 
- text/html:表示HTML格式的内容。 
- application/javascript:表示JavaScript格式的内容。 
- application/json:表示JSON格式内容类型。 
 
 
 - 自定义转发规则支持多种转发条件及转发动作,可以配置域名、路径、HTTP标头转发条件,转发至、返回固定响应的转发动作。了解更多配置,请参见自定义ALB Ingress的转发规则。 - 关闭自定义转发规则。此示例中不需要配置自定义转发规则。 - 注解 - 您可自定义注解名称和值,也可根据名称选择或搜索要配置的注解。Ingress的注解请参见Annotations。 - 无需配置,此示例不需要配置注解。 - 标签 - 标签的作用是为Ingress添加对应的标签,表示该Ingress的特点。 - 无需配置,此示例不需要配置标签。 
- 配置完成,在创建Ingress页面的左下角,单击确定。 
- 检查Ingress创建成功: - 在左侧导航栏,选择网络 > 路由。可查看到名称为cafe-ingress的Ingress已部署。 
- 在cafe-ingress的端点列,可查看到端点信息。 
 
通过kubectl创建Ingress
- 创建并拷贝以下内容到cafe-ingress.yaml文件中,用于创建Ingress。 - 可调整参数说明如下: - 参数 - 是否必填 - 说明 - metadata.name- 是 - Ingress的名称。 说明- Ingress的名称在集群中必须是唯一的。因此,在创建Ingress时,需确保Ingress名称的唯一性,以避免命名冲突。 - spec.ingressClassName- 是 - 关联的IngressClass的名称。 - spec.rules.host- 否 - HTTP头部host字段域名信息,需要配置为自有域名。 - 当在浏览器中访问自有域名时,例如“http://demo.domain.ingress.top”,浏览器会在发送HTTP请求时自动添加一个“Host: demo.domain.ingress.top”的头部字段。这样,服务器就可以根据该头部字段来识别请求的目标主机名。在Kubernetes中,Ingress规则中的host字段会与来自请求的Host头部字段进行匹配。当匹配成功时,Ingress规则就会将请求路由到相应的后端服务进行处理。 说明- 此处如果配置了自有域名,需要确保该自有域名完成备案,否则可能访问时无法解析。具体操作,请参见ICP备案流程。 
- 此处如果未配置,那么该Ingress规则将匹配所有到达Ingress Controller的请求。 
 - spec.rules.http.paths.path- 是 - 转发路径URL。 - spec.rules.http.paths.pathType- 是 - URL匹配规则。详情可参考基于URL路径转发请求。 - spec.rules.http.paths.backend.service.name- 是 - 填写此前创建的Service名称。 - spec.rules.http.paths.backend.service.port.number- 是 - 填写此前创建的Service的服务端口号。 - 这个端口号的设置非常重要,因为它决定了在路由到后端服务时使用的端口。确保端口号正确设置,以确保请求可以正确路由到后端服务并被处理。 
- 执行以下命令,配置 - coffee和- tea服务对外暴露的域名和- path路径。- kubectl apply -f cafe-ingress.yaml- 预期输出: - ingress.networking.k8s.io/cafe-ingress created
- (可选)执行以下命令获取ALB实例DNS地址。 - kubectl get ingress- 预期输出: - NAME CLASS HOSTS ADDRESS PORTS AGE cafe-ingress alb demo.domain.ingress.top alb-m551oo2zn63yov****.cn-hangzhou.alb.aliyuncs.com 80 50s
(可选)步骤五:配置域名解析
如果在创建Ingress时配置了spec.rules.host字段为自有域名,需要为域名添加CNAME记录解析到ALB DNS名称。后续通过自有域名访问服务。
- 登录容器计算服务控制台。 
- 单击集群名称,进入集群管理页面。 
- 在左侧导航栏,选择网络 > 路由。 
- 在cafe-ingress的端点列,复制其对应的DNS名称。 
- 完成以下步骤来添加CNAME解析记录。 - 登录域名解析控制台。 
- 在域名解析页面单击添加域名。 
- 在添加域名对话框中输入主机域名,然后单击确认。 重要- 主机域名需已完成TXT记录验证。 
- 在目标域名的操作列单击解析设置。 
- 在解析设置页面单击添加记录。 
- 在添加记录面板配置以下信息完成CNAME解析配置,然后单击确认。 - 配置 - 说明 - 记录类型 - 在下拉列表中选择CNAME。 - 主机记录 - 域名的前缀,例如 - www。- 解析请求来源 - 选择默认。 - 记录值 - 输入域名对应的CNAME地址,即上一步中复制的DNS名称。 - TTL - 全称Time To Live,表示DNS记录在DNS服务器上的缓存时间,本文使用默认值。 
 
步骤六:测试流量转发
在浏览器中输入“测试域名+URL路径”,测试流量转发是否正确。
- 如果配置了自有域名,则“测试域名”为自有域名。 
- 如果未配置自有域名,则“测试域名”为cafe-ingress的端点DNS名称。 
测试域名以demo.domain.ingress.top为例:
- 在浏览器中输入 - demo.domain.ingress.top/coffee,将返回coffee-svc对应的后端服务界面。 
- 在浏览器中输入 - demo.domain.ingress.top/tea,将返回tea-svc对应的后端服务界面。 
相关文档
- 如需了解ALB Ingress服务的高级用法,例如如何将来自不同域名或URL路径的请求转发给不同的后端服务器组、配置健康检查、将HTTP访问重定向至HTTPS、灰度发布、配置自定义监听端口等,请参见ALB Ingress服务高级用法。 
- 如需自定义ALB Ingress的转发规则,如配置转发条件和动作,请参见自定义ALB Ingress的转发规则。 
- 如需让HTTPS监听转发来自HTTPS协议的请求,请参见配置HTTPS证书以实现加密通信。 
- 如果在使用ALB Ingress过程中遇到问题,可先参见ALB Ingress异常问题排查、ALB Ingress FAQ自助排查问题。