Configurar ingress con Kubernetes Gateway API a través del complemento de enrutamiento de aplicaciones para Azure Kubernetes Service (AKS)

Actualización de la versión de la CLI de Azure

Debe usar azure-cli la versión 2.86.0 o superior. Ejecute az --version para buscar la azure-cli versión y ejecute az upgrade para actualizar.

Habilitar las CRD de la API de gateway administrado

Active la instalación de la API de puerta de enlace administrada. No se admite el uso de las CRD de la API de puerta de enlace autoadministradas con el complemento de enrutamiento de aplicaciones.

Comportamiento predeterminado automático de AKS (AKS 1.36 y versiones posteriores)

En los nuevos clústeres de AKS Automatic que ejecutan AKS 1.36 o posterior, la API de puerta de enlace de Kubernetes a través del complemento de enrutamiento de aplicaciones está habilitada de forma predeterminada.

Normalmente no es necesario ejecutar el comando de habilitación de características a menos que sea:

• Uso de un clúster existente.
• Uso de una versión anterior de AKS.
• Vuelva a habilitar la característica después de deshabilitarla.

Habilitar la implementación de la API de Gateway para el enrutamiento de aplicaciones

Habilitar durante la creación del clúster

Ejecute el siguiente comando para habilitar la implementación de la API de puerta de enlace de enrutamiento de aplicaciones durante la creación del clúster estándar de AKS:

# Set environment variables
export CLUSTER=<cluster-name>
export RESOURCE_GROUP=<resource-group-name>

# Enable the application routing Gateway API implementation during AKS Standard cluster creation
az aks create --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --enable-gateway-api --enable-app-routing-istio

Habilitar para un clúster existente

Ejecute el siguiente comando para habilitar la implementación de la API de gateway de enrutamiento de aplicaciones para un clúster existente:

# Set environment variables
export CLUSTER=<cluster-name>
export RESOURCE_GROUP=<resource-group-name>

# Enable the application routing Gateway API implementation for an existing cluster
az aks update --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --enable-gateway-api --enable-app-routing-istio

Debería ver los pods istiod en el espacio de nombres aks-istio-system:

kubectl get pods -n aks-istio-system

NAME                      READY   STATUS    RESTARTS   AGE
istiod-12a3bc45de-fghi6   1/1     Running   0          3m15s
istiod-78j9kl01mn-opqrs   1/1     Running   0          3m

También debería observar que ValidatingWebhookConfiguration se ha implementado:

kubectl get validatingwebhookconfiguration

NAME                                        WEBHOOKS   AGE
aks-node-validating-webhook                 1          117m
azure-service-mesh-ccp-validating-webhook   1          4m2s

Si tiene habilitada la instalación de la API de puerta de enlace administrada, también debería observar que el ConfigMap de personalización de la puerta de enlace de Istio se ha creado:

kubectl get cm -n aks-istio-system

NAME                                  DATA   AGE
...
istio-gateway-class-defaults          2      43s
...

Configurar ingreso usando un Gateway de Kubernetes

Implementación de una aplicación de ejemplo

En primer lugar, despliegue la aplicación httpbin de ejemplo en el espacio de nombres default.

export ISTIO_RELEASE="release-1.27"
kubectl apply -f https://raw.githubusercontent.com/istio/istio/$ISTIO_RELEASE/samples/httpbin/httpbin.yaml

Creación de una puerta de enlace de Kubernetes y HTTPRoute

A continuación, implemente una configuración de API de puerta de enlace en el espacio de nombres default con el gatewayClassName establecido en approuting-istio.

kubectl apply -f - <<EOF
apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: httpbin-gateway
spec:
  gatewayClassName: approuting-istio
  listeners:
  - name: http
    port: 80
    protocol: HTTP
    allowedRoutes:
      namespaces:
        from: Same
---
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: httpbin
spec:
  parentRefs:
  - name: httpbin-gateway
  hostnames: ["httpbin.example.com"]
  rules:
  - matches:
    - path:
        type: PathPrefix
        value: /get
    backendRefs:
    - name: httpbin
      port: 8000
EOF

Compruebe que se han creado un Deployment, Service, HorizontalPodAutoscaler, y PodDisruptionBudget para httpbin-gateway:

kubectl get deployment httpbin-gateway-approuting-istio

NAME                               READY   UP-TO-DATE   AVAILABLE   AGE
httpbin-gateway-approuting-istio   2/2     2            2           6m41s

kubectl get service httpbin-gateway-approuting-istio

NAME                               TYPE           CLUSTER-IP   EXTERNAL-IP      PORT(S)                        AGE
httpbin-gateway-approuting-istio   LoadBalancer   10.0.54.96   <external-ip>    15021:30580/TCP,80:32693/TCP   7m13s

kubectl get hpa httpbin-gateway-approuting-istio

NAME                               REFERENCE                                     TARGETS       MINPODS   MAXPODS   REPLICAS   AGE
httpbin-gateway-approuting-istio   Deployment/httpbin-gateway-approuting-istio   cpu: 3%/80%   2         5         2          8m13s

kubectl get pdb httpbin-gateway-approuting-istio

NAME                               MIN AVAILABLE   MAX UNAVAILABLE   ALLOWED DISRUPTIONS   AGE
httpbin-gateway-approuting-istio   1               N/A               1                     9m1s

Envío de una solicitud a una aplicación de ejemplo

Por último, intente enviar una curl solicitud a la httpbin aplicación. En primer lugar, establezca la variable de entorno INGRESS_HOST:

kubectl wait --for=condition=programmed gateways.gateway.networking.k8s.io httpbin-gateway
export INGRESS_HOST=$(kubectl get gateways.gateway.networking.k8s.io httpbin-gateway -ojsonpath='{.status.addresses[0].value}')

A continuación, intente enviar una solicitud HTTP a httpbin:

curl -s -I -HHost:httpbin.example.com "http://$INGRESS_HOST/get"

Debería ver una respuesta HTTP 200.

Para usar Terraform para crear un clúster de AKS con la implementación de api de puerta de enlace de enrutamiento de aplicaciones habilitada, necesita lo siguiente:

• Tener instalada la versión 1.9.0 o posterior de Terraform.
• La CLI de Azure instalada y autenticada. Ejecute az --version para buscar la azure-cli versión y ejecute az upgrade para actualizar. Use el CLI de Azure para conectarse al clúster después de que Terraform lo cree.
• kubectl instalado. Puede instalarlo localmente mediante el az aks install-cli comando . Use kubectl para desplegar la aplicación de ejemplo y los recursos de Gateway API.

Implemente un clúster de AKS con la implementación de la API de Gateway para el enrutamiento de aplicaciones mediante Terraform

En esta sección se muestra cómo usar Terraform para implementar un clúster de AKS con la instalación de la API de puerta de enlace administrada y la implementación de la API de puerta de enlace para el enrutamiento de aplicaciones habilitadas.

En este ejemplo se implementa:

• Un grupo de recursos.
• Un clúster de AKS que usa el complemento de red de CNI Azure y un equilibrador de carga estándar.
• La instalación de la API de puerta de enlace administrada y la implementación de la API de puerta de enlace de enrutamiento de aplicaciones, ambas habilitadas en el clúster a través del proveedor AzAPI. Al habilitar ambas opciones, la clase GatewayClass administrada approuting-istio por AKS está disponible en el clúster.

1. Cree un directorio para probar y ejecutar el código de Terraform de ejemplo y convertirlo en el directorio actual.

2. Cree un archivo llamado main.tf e inserte el siguiente código:

   terraform {
     required_version = ">= 1.9.0"
   
     required_providers {
       azurerm = {
         source  = "hashicorp/azurerm"
         version = "~> 4.0"
       }
       azapi = {
         source  = "Azure/azapi"
         version = "~> 2.0"
       }
       random = {
         source  = "hashicorp/random"
         version = "~> 3.0"
       }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   provider "azapi" {
     enable_preflight = true
   }
   
   resource "random_string" "suffix" {
     length  = 6
     upper   = false
     special = false
   }
   
   locals {
     location            = "eastus"
     resource_group_name = "rg-aks-gateway-api-${random_string.suffix.result}"
     cluster_name        = "aks-gwapi-${random_string.suffix.result}"
   }
   
   resource "azurerm_resource_group" "example" {
     name     = local.resource_group_name
     location = local.location
   }
   
   resource "azurerm_kubernetes_cluster" "example" {
     name                              = local.cluster_name
     location                          = azurerm_resource_group.example.location
     resource_group_name               = azurerm_resource_group.example.name
     dns_prefix                        = local.cluster_name
     role_based_access_control_enabled = true
   
     default_node_pool {
       name       = "system"
       node_count = 2
       vm_size    = "Standard_D4s_v4"
   
       upgrade_settings {
         drain_timeout_in_minutes      = 0
         max_surge                     = "10%"
         node_soak_duration_in_minutes = 0
       }
     }
   
     identity {
       type = "SystemAssigned"
     }
   
     network_profile {
       network_plugin    = "azure"
       load_balancer_sku = "standard"
     }
   }
   
   resource "azapi_update_resource" "gateway_api_app_routing" {
     type        = "Microsoft.ContainerService/managedClusters@2026-03-01"
     resource_id = azurerm_kubernetes_cluster.example.id
     body = {
       properties = {
         ingressProfile = {
           gatewayAPI = {
             installation = "Standard"
           }
           webAppRouting = {
             gatewayAPIImplementations = {
               appRoutingIstio = {
                 mode = "Enabled"
               }
             }
           }
         }
       }
     }
     response_export_values = [
       "properties.ingressProfile"
     ]
     depends_on = [
       azurerm_kubernetes_cluster.example
     ]
   }
   
   output "resource_group_name" {
     value = azurerm_resource_group.example.name
   }
   
   output "cluster_name" {
     value = azurerm_kubernetes_cluster.example.name
   }
   
   output "get_credentials_command" {
     value = "az aks get-credentials --resource-group ${azurerm_resource_group.example.name} --name ${azurerm_kubernetes_cluster.example.name} --overwrite-existing"
   }
   

3. Para inicializar Terraform, ejecute el terraform init comando . Este comando descarga los proveedores de Azure necesarios para administrar Azure recursos con Terraform.

   terraform init
   

4. Dé formato y valide la configuración mediante la ejecución de los terraform fmt comandos y terraform validate .

   terraform fmt
   terraform validate
   

5. Cree un plan de ejecución de Terraform ejecutando el terraform plan comando . Este comando muestra los recursos que Terraform crea o modifica en la suscripción de Azure.

   terraform plan
   

6. Aplique el plan de ejecución de Terraform ejecutando el comando terraform apply. Este comando crea los recursos definidos en su archivo main.tf en su suscripción de Azure. Cuando se le solicite, escriba yes para confirmar.

   terraform apply
   

Conexión al clúster de AKS mediante Terraform

1. Obtenga el grupo de recursos y los nombres de clúster de las salidas de Terraform.

   terraform output -raw resource_group_name
   terraform output -raw cluster_name
   

2. Configure kubectl para conectarse a su clúster mediante el comando az aks get-credentials. Con este comando se descargan las credenciales y se configura la CLI de Kubernetes para usarlas. Sustituya <resource-group-name> y <cluster-name> por los valores del paso anterior. Como alternativa, ejecute terraform output -raw get_credentials_command para obtener el comando completo listo para ejecutar.

   az aks get-credentials --resource-group <resource-group-name> --name <cluster-name>
   

3. Para comprobar que el clúster se está ejecutando, ejecute el kubectl get nodes comando .

   kubectl get nodes
   

Comprobación de la configuración de la API de puerta de enlace mediante Terraform

1. Compruebe que los istiod pods están en ejecución en el espacio de nombres aks-istio-system.

   kubectl get pods -n aks-istio-system
   

2. Confirme que gatewayClass approuting-istio existe y se acepta.

   kubectl get gatewayclass
   

   La approuting-istio GatewayClass debería devolver True en la columna ACCEPTED.

Configuración de la entrada mediante una puerta de enlace de Kubernetes con Terraform

Implementación de la aplicación de ejemplo mediante Terraform

Despliegue la aplicación de ejemplo httpbin en el espacio de nombres default:

kubectl apply -f https://raw.githubusercontent.com/istio/istio/release-1.27/samples/httpbin/httpbin.yaml

Compruebe que el pod httpbin y el servicio están disponibles:

kubectl get pods -l app=httpbin
kubectl get svc httpbin

Creación de los recursos de Puerta de enlace y HTTPRoute mediante Terraform

El ejemplo de implementación de Gateway API para el enrutamiento de aplicaciones incluye un manifiesto Gateway que crea una escucha HTTP en el puerto 80 y usa la GatewayClass approuting-istio administrada por AKS.

1. Cree un archivo llamado gateway.yaml e inserte el siguiente código:

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     name: httpbin-gateway
   spec:
     gatewayClassName: approuting-istio
     listeners:
       - name: http
         port: 80
         protocol: HTTP
         allowedRoutes:
           namespaces:
             from: Same
   

2. Aplique la Gateway configuración:

   kubectl apply -f gateway.yaml
   

   El ejemplo también incluye un manifiesto HTTPRoute que enruta las solicitudes para httpbin.example.com/get al servicio httpbin en el puerto 8000.

3. Cree un archivo llamado httproute.yaml e inserte el siguiente código:

   apiVersion: gateway.networking.k8s.io/v1
   kind: HTTPRoute
   metadata:
     name: httpbin
   spec:
     parentRefs:
       - name: httpbin-gateway
     hostnames:
       - httpbin.example.com
     rules:
       - matches:
           - path:
               type: PathPrefix
               value: /get
         backendRefs:
           - name: httpbin
             port: 8000
   

4. Aplique la HTTPRoute configuración:

   kubectl apply -f httproute.yaml
   

Compruebe que se han creado un Deployment, Service, HorizontalPodAutoscaler, y PodDisruptionBudget para httpbin-gateway:

kubectl get deployment httpbin-gateway-approuting-istio
kubectl get service httpbin-gateway-approuting-istio
kubectl get hpa httpbin-gateway-approuting-istio
kubectl get pdb httpbin-gateway-approuting-istio

Envío de una solicitud a la aplicación de ejemplo mediante Terraform

Espere a que la puerta de enlace notifique una Programmed condición y obtenga su dirección externa:

kubectl wait --for=condition=programmed gateways.gateway.networking.k8s.io httpbin-gateway
export INGRESS_HOST=$(kubectl get gateways.gateway.networking.k8s.io httpbin-gateway -ojsonpath='{.status.addresses[0].value}')

A continuación, envíe una solicitud a httpbin a través de la puerta de enlace:

curl -s -I -HHost:httpbin.example.com "http://$INGRESS_HOST/get"

Debería ver una respuesta HTTP 200.

Deshabilitar la implementación de la API de Gateway de enrutamiento de aplicaciones

Ejecute el siguiente comando para deshabilitar la implementación de la API de gateway de enrutamiento de aplicaciones:

az aks update --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --disable-app-routing-istio

Limpieza de recursos

Ejecute los comandos siguientes para eliminar los Gateway recursos y HTTPRoute :

kubectl delete gateways.gateway.networking.k8s.io httpbin-gateway
kubectl delete httproute httpbin

Si ha creado un objeto ConfigMap para personalizar Gateway, ejecute el siguiente comando para eliminar el ConfigMap:

kubectl delete configmap gw-options

Si creó un secretProviderClass y un secreto que se usará para la terminación TLS, elimine los siguientes recursos:

kubectl delete secret httpbin-credential
kubectl delete pod secrets-store-sync-httpbin
kubectl delete secretproviderclass httpbin-credential-spc

Limpieza de recursos mediante Terraform

En esta sección, ha implementado una aplicación de ejemplo con ámbito de espacio de nombres y recursos de la API de Gateway. Si ya no necesita estos recursos de Kubernetes, elimínelos antes de quitar la infraestructura de Azure subyacente.

Elimine HTTPRoute, Gateway y la aplicación de ejemplo con el comando kubectl delete:

kubectl delete -f httproute.yaml
kubectl delete -f gateway.yaml
kubectl delete -f https://raw.githubusercontent.com/istio/istio/release-1.27/samples/httpbin/httpbin.yaml

Quite los recursos de Azure creados por Terraform mediante el terraform destroy comando . Cuando se le solicite, escriba yes para confirmar.

terraform destroy