Konfigurieren Sie Ingress mit der Kubernetes-Gateway-API über das Add-On für Anwendungsrouting für Azure Kubernetes Service (AKS)

Aktualisieren der Azure CLI-Version

Sie müssen azure-cli Version 2.86.0 oder höher verwenden. Führen Sie az --version aus, um Ihre azure-cli-Version zu finden, und führen Sie az upgrade zum Aktualisieren aus.

Aktivieren Sie verwaltete Gateway-API-CRDs

Aktivieren Sie die Installation der verwalteten Gateway-API. Die Verwendung von selbstverwalteten Gateway-API-CRDs mit dem Anwendungsrouting-Add-On wird nicht unterstützt.

Automatisches AKS-Standardverhalten (AKS 1.36 und höher)

Bei neuen automatischen AKS-Clustern, die AKS 1.36 oder höher ausführen, ist die Kubernetes-Gateway-API über das Anwendungsrouting-Add-On standardmäßig aktiviert.

Normalerweise müssen Sie den Featureaktivierungsbefehl nicht ausführen, es sei denn, Sie sind:

• Verwenden eines vorhandenen Clusters.
• Verwenden einer früheren AKS-Version.
• Erneutes Aktivieren der Funktion nach dem Deaktivieren.

Aktivierung der API-Implementierung des Anwendungs-Routing-Gateways

Aktivieren während der Clustererstellung

Führen Sie den folgenden Befehl aus, um die Gateway API-Implementierung für Application Routing während der Erstellung des AKS-Standardclusters zu aktivieren:

# Set environment variables
export CLUSTER=<cluster-name>
export RESOURCE_GROUP=<resource-group-name>

# Enable the application routing Gateway API implementation during AKS Standard cluster creation
az aks create --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --enable-gateway-api --enable-app-routing-istio

Aktivieren für einen vorhandenen Cluster

Führen Sie den folgenden Befehl aus, um die Anwendungsroutinggateway-API-Implementierung für einen vorhandenen Cluster zu aktivieren:

# Set environment variables
export CLUSTER=<cluster-name>
export RESOURCE_GROUP=<resource-group-name>

# Enable the application routing Gateway API implementation for an existing cluster
az aks update --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --enable-gateway-api --enable-app-routing-istio

Sie sollten istiod Pods im aks-istio-system Namespace sehen:

kubectl get pods -n aks-istio-system

NAME                      READY   STATUS    RESTARTS   AGE
istiod-12a3bc45de-fghi6   1/1     Running   0          3m15s
istiod-78j9kl01mn-opqrs   1/1     Running   0          3m

Sie sollten auch sehen, dass die ValidatingWebhookConfiguration bereitgestellt werden:

kubectl get validatingwebhookconfiguration

NAME                                        WEBHOOKS   AGE
aks-node-validating-webhook                 1          117m
azure-service-mesh-ccp-validating-webhook   1          4m2s

Wenn die Installation der verwalteten Gateway-API aktiviert ist, sollten Sie auch sehen, dass die ConfigMap zur Anpassung des Istio-Gateways erstellt wird.

kubectl get cm -n aks-istio-system

NAME                                  DATA   AGE
...
istio-gateway-class-defaults          2      43s
...

Konfigurieren des Eingangs mithilfe eines Kubernetes-Gateways

Bereitstellen der Beispielanwendung

Stellen Sie zunächst die Beispielanwendung httpbin im default Namespace bereit:

export ISTIO_RELEASE="release-1.27"
kubectl apply -f https://raw.githubusercontent.com/istio/istio/$ISTIO_RELEASE/samples/httpbin/httpbin.yaml

Erstellen von Kubernetes-Gateway und HTTPRoute

Stellen Sie als Nächstes eine Gateway-API-Konfiguration im default Namespace bereit, wobei gatewayClassName auf approuting-istio gesetzt ist.

kubectl apply -f - <<EOF
apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: httpbin-gateway
spec:
  gatewayClassName: approuting-istio
  listeners:
  - name: http
    port: 80
    protocol: HTTP
    allowedRoutes:
      namespaces:
        from: Same
---
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: httpbin
spec:
  parentRefs:
  - name: httpbin-gateway
  hostnames: ["httpbin.example.com"]
  rules:
  - matches:
    - path:
        type: PathPrefix
        value: /get
    backendRefs:
    - name: httpbin
      port: 8000
EOF

Stellen Sie sicher, dass ein Deployment, ein Service, ein HorizontalPodAutoscaler und ein PodDisruptionBudget für httpbin-gateway erstellt werden.

kubectl get deployment httpbin-gateway-approuting-istio

NAME                               READY   UP-TO-DATE   AVAILABLE   AGE
httpbin-gateway-approuting-istio   2/2     2            2           6m41s

kubectl get service httpbin-gateway-approuting-istio

NAME                               TYPE           CLUSTER-IP   EXTERNAL-IP      PORT(S)                        AGE
httpbin-gateway-approuting-istio   LoadBalancer   10.0.54.96   <external-ip>    15021:30580/TCP,80:32693/TCP   7m13s

kubectl get hpa httpbin-gateway-approuting-istio

NAME                               REFERENCE                                     TARGETS       MINPODS   MAXPODS   REPLICAS   AGE
httpbin-gateway-approuting-istio   Deployment/httpbin-gateway-approuting-istio   cpu: 3%/80%   2         5         2          8m13s

kubectl get pdb httpbin-gateway-approuting-istio

NAME                               MIN AVAILABLE   MAX UNAVAILABLE   ALLOWED DISRUPTIONS   AGE
httpbin-gateway-approuting-istio   1               N/A               1                     9m1s

Anforderung an Beispielanwendung senden

Versuchen Sie schließlich, eine curl Anforderung an die httpbin Anwendung zu senden. Legen Sie zunächst die Umgebungsvariable INGRESS_HOST fest:

kubectl wait --for=condition=programmed gateways.gateway.networking.k8s.io httpbin-gateway
export INGRESS_HOST=$(kubectl get gateways.gateway.networking.k8s.io httpbin-gateway -ojsonpath='{.status.addresses[0].value}')

Versuchen Sie dann, eine HTTP-Anforderung an httpbin:

curl -s -I -HHost:httpbin.example.com "http://$INGRESS_HOST/get"

Es sollte eine HTTP 200-Antwort angezeigt werden.

Um Terraform zum Erstellen eines AKS-Clusters mit aktivierter Implementierung der Anwendungsroutinggateway-API zu verwenden, benötigen Sie Folgendes:

• Terraform in Version 1.9.0 oder höher installiert.
• Azure CLI installiert und authentifiziert. Führen Sie az --version aus, um Ihre azure-cli-Version zu finden, und führen Sie az upgrade zum Aktualisieren aus. Sie verwenden die Azure CLI, um eine Verbindung mit dem Cluster herzustellen, nachdem Terraform es erstellt hat.
• kubectl installiert. Sie können es lokal mithilfe des az aks install-cli Befehls installieren. Sie verwenden kubectl, um die Beispielanwendung und Gateway-API-Ressourcen bereitzustellen.

Stellen Sie einen AKS-Cluster mit der Gateway-API-Implementierung für das Anwendungsrouting mithilfe von Terraform bereit

In diesem Abschnitt wird gezeigt, wie Sie Terraform verwenden, um einen AKS-Cluster mit der Installation der Managed Gateway API und aktivierter Gateway-API-Implementierung für das Anwendungsrouting bereitzustellen.

In diesem Beispiel wird Folgendes bereitgestellt:

• Eine Ressourcengruppe.
• Ein AKS-Cluster, das das Azure CNI-Netzwerkplugin und einen Standard-Lastenausgleich verwendet.
• Die Installation der verwalteten GatewayAPI und die Gateway-API-Implementierung für das Anwendungsrouting, die beide über den AzAPI-Provider im Cluster aktiviert sind. Durch Aktivieren beider Einstellungen wird die vom AKS verwaltete approuting-istio GatewayClass im Cluster verfügbar.

1. Erstellen Sie ein Verzeichnis zum Testen und Ausführen des Terraform-Beispielcodes, und machen Sie es zum aktuellen Verzeichnis.

2. Erstellen Sie eine Datei namens main.tf, und fügen Sie den folgenden Code ein:

   terraform {
     required_version = ">= 1.9.0"
   
     required_providers {
       azurerm = {
         source  = "hashicorp/azurerm"
         version = "~> 4.0"
       }
       azapi = {
         source  = "Azure/azapi"
         version = "~> 2.0"
       }
       random = {
         source  = "hashicorp/random"
         version = "~> 3.0"
       }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   provider "azapi" {
     enable_preflight = true
   }
   
   resource "random_string" "suffix" {
     length  = 6
     upper   = false
     special = false
   }
   
   locals {
     location            = "eastus"
     resource_group_name = "rg-aks-gateway-api-${random_string.suffix.result}"
     cluster_name        = "aks-gwapi-${random_string.suffix.result}"
   }
   
   resource "azurerm_resource_group" "example" {
     name     = local.resource_group_name
     location = local.location
   }
   
   resource "azurerm_kubernetes_cluster" "example" {
     name                              = local.cluster_name
     location                          = azurerm_resource_group.example.location
     resource_group_name               = azurerm_resource_group.example.name
     dns_prefix                        = local.cluster_name
     role_based_access_control_enabled = true
   
     default_node_pool {
       name       = "system"
       node_count = 2
       vm_size    = "Standard_D4s_v4"
   
       upgrade_settings {
         drain_timeout_in_minutes      = 0
         max_surge                     = "10%"
         node_soak_duration_in_minutes = 0
       }
     }
   
     identity {
       type = "SystemAssigned"
     }
   
     network_profile {
       network_plugin    = "azure"
       load_balancer_sku = "standard"
     }
   }
   
   resource "azapi_update_resource" "gateway_api_app_routing" {
     type        = "Microsoft.ContainerService/managedClusters@2026-03-01"
     resource_id = azurerm_kubernetes_cluster.example.id
     body = {
       properties = {
         ingressProfile = {
           gatewayAPI = {
             installation = "Standard"
           }
           webAppRouting = {
             gatewayAPIImplementations = {
               appRoutingIstio = {
                 mode = "Enabled"
               }
             }
           }
         }
       }
     }
     response_export_values = [
       "properties.ingressProfile"
     ]
     depends_on = [
       azurerm_kubernetes_cluster.example
     ]
   }
   
   output "resource_group_name" {
     value = azurerm_resource_group.example.name
   }
   
   output "cluster_name" {
     value = azurerm_kubernetes_cluster.example.name
   }
   
   output "get_credentials_command" {
     value = "az aks get-credentials --resource-group ${azurerm_resource_group.example.name} --name ${azurerm_kubernetes_cluster.example.name} --overwrite-existing"
   }
   

3. Initialisieren Sie Terraform, indem Sie den terraform init Befehl ausführen. Mit diesem Befehl werden die Azure Anbieter heruntergeladen, die zum Verwalten von Azure Ressourcen mit Terraform erforderlich sind.

   terraform init
   

4. Formatieren und validieren Sie die Konfiguration, indem Sie die Befehle terraform fmt und terraform validate ausführen.

   terraform fmt
   terraform validate
   

5. Erstellen Sie einen Terraform-Ausführungsplan, indem Sie den terraform plan Befehl ausführen. Dieser Befehl zeigt Ihnen die Ressourcen, die Terraform in Ihrem Azure-Abonnement erstellt oder ändert.

   terraform plan
   

6. Wenden Sie den Terraform-Ausführungsplan an, indem Sie den terraform apply Befehl ausführen. Mit diesem Befehl werden die ressourcen erstellt, die in Ihrer main.tf Datei in Ihrem Azure-Abonnement definiert sind. Wenn Sie dazu aufgefordert werden, geben Sie yes die Eingabetaste ein, um dies zu bestätigen.

   terraform apply
   

Herstellen einer Verbindung mit dem AKS-Cluster mithilfe von Terraform

1. Rufen Sie die Ressourcengruppen- und Clusternamen aus den Terraform-Ausgaben ab.

   terraform output -raw resource_group_name
   terraform output -raw cluster_name
   

2. Konfigurieren Sie kubectl, um mit dem Befehl az aks get-credentials eine Verbindung mit Ihrem Cluster herzustellen. Mit diesem Befehl werden die Anmeldeinformationen heruntergeladen, und die Kubernetes-Befehlszeilenschnittstelle wird für deren Verwendung konfiguriert. Ersetzen Sie <resource-group-name> und <cluster-name> durch die Werte aus dem vorherigen Schritt. Alternativ können Sie ausführen terraform output -raw get_credentials_command , um den vollständigen, einsatzbereiten Befehl zu erhalten.

   az aks get-credentials --resource-group <resource-group-name> --name <cluster-name>
   

3. Überprüfen Sie, ob der Cluster ausgeführt wird, indem Sie den kubectl get nodes Befehl ausführen.

   kubectl get nodes
   

Überprüfen der Gateway-API-Konfiguration mithilfe von Terraform

1. Vergewissern Sie sich, dass die istiod Pods im aks-istio-system Namespace ausgeführt werden.

   kubectl get pods -n aks-istio-system
   

2. Vergewissern Sie sich, dass die approuting-istio GatewayClass vorhanden ist und akzeptiert wird.

   kubectl get gatewayclass
   

   Die approuting-istio GatewayClass sollte ACCEPTED in der True Spalte zurückgeben.

Ingress mit einem Kubernetes-Gateway in Terraform konfigurieren

Bereitstellen der Beispielanwendung mithilfe von Terraform

Stellen Sie die Beispielanwendung httpbin im default Namespace bereit:

kubectl apply -f https://raw.githubusercontent.com/istio/istio/release-1.27/samples/httpbin/httpbin.yaml

Stellen Sie sicher, dass der httpbin Pod und der Dienst verfügbar sind:

kubectl get pods -l app=httpbin
kubectl get svc httpbin

Erstellen der Gateway- und HTTPRoute-Ressourcen mithilfe von Terraform

Das Implementierungsbeispiel für die Gateway-API des Anwendungsroutings enthält ein Gateway-Manifest, das einen HTTP-Listener auf Port 80 erstellt und die von AKS verwaltete approuting-istio GatewayClass verwendet.

1. Erstellen Sie eine Datei namens gateway.yaml, und fügen Sie den folgenden Code ein:

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     name: httpbin-gateway
   spec:
     gatewayClassName: approuting-istio
     listeners:
       - name: http
         port: 80
         protocol: HTTP
         allowedRoutes:
           namespaces:
             from: Same
   

2. Wenden Sie die Gateway Konfiguration an:

   kubectl apply -f gateway.yaml
   

   Das Beispiel enthält auch ein HTTPRoute Manifest, das Anforderungen httpbin.example.com/get an den httpbin Dienst am Port 8000weiter leitet.

3. Erstellen Sie eine Datei namens httproute.yaml, und fügen Sie den folgenden Code ein:

   apiVersion: gateway.networking.k8s.io/v1
   kind: HTTPRoute
   metadata:
     name: httpbin
   spec:
     parentRefs:
       - name: httpbin-gateway
     hostnames:
       - httpbin.example.com
     rules:
       - matches:
           - path:
               type: PathPrefix
               value: /get
         backendRefs:
           - name: httpbin
             port: 8000
   

4. Wenden Sie die HTTPRoute Konfiguration an:

   kubectl apply -f httproute.yaml
   

Stellen Sie sicher, dass ein Deployment, ein Service, ein HorizontalPodAutoscaler und ein PodDisruptionBudget für httpbin-gateway erstellt werden.

kubectl get deployment httpbin-gateway-approuting-istio
kubectl get service httpbin-gateway-approuting-istio
kubectl get hpa httpbin-gateway-approuting-istio
kubectl get pdb httpbin-gateway-approuting-istio

Senden einer Anforderung an die Beispielanwendung mithilfe von Terraform

Warten Sie, bis das Gateway eine Programmed Bedingung meldet, und rufen Sie dann die externe Adresse ab:

kubectl wait --for=condition=programmed gateways.gateway.networking.k8s.io httpbin-gateway
export INGRESS_HOST=$(kubectl get gateways.gateway.networking.k8s.io httpbin-gateway -ojsonpath='{.status.addresses[0].value}')

Senden Sie dann über das Gateway eine Anfrage an httpbin:

curl -s -I -HHost:httpbin.example.com "http://$INGRESS_HOST/get"

Es sollte eine HTTP 200-Antwort angezeigt werden.

Deaktivieren der API-Implementierung des Anwendungs-Routing-Gateways

Führen Sie den folgenden Befehl aus, um die Implementierung der API für Anwendungs-Routing-Gateway zu deaktivieren.

az aks update --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --disable-app-routing-istio

Bereinigen von Ressourcen

Führen Sie die folgenden Befehle aus, um die Gateway Und HTTPRoute Ressourcen zu löschen:

kubectl delete gateways.gateway.networking.k8s.io httpbin-gateway
kubectl delete httproute httpbin

Wenn Sie eine ConfigMap erstellt haben, um Ihren GatewayAnzupassen, führen Sie den folgenden Befehl aus, um die ConfigMap zu löschen:

kubectl delete configmap gw-options

Wenn Sie eine SecretProviderClass und einen geheimen Schlüssel zum Beenden von TLS erstellt haben, löschen Sie die folgenden Ressourcen:

kubectl delete secret httpbin-credential
kubectl delete pod secrets-store-sync-httpbin
kubectl delete secretproviderclass httpbin-credential-spc

Bereinigen von Ressourcen mithilfe von Terraform

In diesem Abschnitt haben Sie eine Namespace-bezogene Beispielanwendung und Gateway-API-Ressourcen bereitgestellt. Wenn Sie diese Kubernetes-Ressourcen nicht mehr benötigen, löschen Sie sie, bevor Sie die zugrunde liegende Azure Infrastruktur entfernen.

Löschen Sie die HTTPRoute, Gatewayund beispielanwendung mithilfe des kubectl delete Befehls:

kubectl delete -f httproute.yaml
kubectl delete -f gateway.yaml
kubectl delete -f https://raw.githubusercontent.com/istio/istio/release-1.27/samples/httpbin/httpbin.yaml

Entfernen Sie die von Terraform erstellten Azure Ressourcen mithilfe des terraform destroy Befehls. Wenn Sie dazu aufgefordert werden, geben Sie yes die Eingabetaste ein, um dies zu bestätigen.

terraform destroy