Configurer l’entrée avec l’API Kubernetes Gateway via le module complémentaire de routage des applications pour Azure Kubernetes Service (AKS)

Mettre à jour la version d’Azure CLI

Vous devez utiliser la version azure-cli2.86.0 ou une version ultérieure. Exécutez az --version pour rechercher votre azure-cli version et exécutez az upgrade la mise à niveau.

Activer les CRD de Managed Gateway API

Activez l’installation de l’API de passerelle gérée. L’utilisation de CRD de l’API Gateway autogérée avec l’extension de routage d’application n’est pas prise en charge.

Comportement par défaut automatique AKS (AKS 1.36 et versions ultérieures)

Sur les nouveaux clusters automatiques AKS exécutant AKS 1.36 ou version ultérieure, l’API Kubernetes Gateway via le module complémentaire de routage d’application est activée par défaut.

En règle générale, vous n’avez pas besoin d’exécuter la commande d’activation de fonctionnalité, sauf si vous êtes :

• Utilisation d’un cluster existant.
• Utilisation d’une version antérieure d’AKS.
• Réactivez la fonctionnalité après sa désactivation.

Activer l’implémentation de l’API passerelle de routage d’application

Activer lors de la création du cluster

Exécutez la commande suivante pour activer l’implémentation de l’API passerelle de routage d’application lors de la création du cluster AKS Standard :

# Set environment variables
export CLUSTER=<cluster-name>
export RESOURCE_GROUP=<resource-group-name>

# Enable the application routing Gateway API implementation during AKS Standard cluster creation
az aks create --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --enable-gateway-api --enable-app-routing-istio

Activer pour un cluster existant

Exécutez la commande suivante pour activer l’implémentation de l’API passerelle de routage d’application pour un cluster existant :

# Set environment variables
export CLUSTER=<cluster-name>
export RESOURCE_GROUP=<resource-group-name>

# Enable the application routing Gateway API implementation for an existing cluster
az aks update --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --enable-gateway-api --enable-app-routing-istio

Vous devriez voir istiod pods dans aks-istio-system l’espace de noms :

kubectl get pods -n aks-istio-system

NAME                      READY   STATUS    RESTARTS   AGE
istiod-12a3bc45de-fghi6   1/1     Running   0          3m15s
istiod-78j9kl01mn-opqrs   1/1     Running   0          3m

Vous devriez également voir le déploiement de ValidatingWebhookConfiguration :

kubectl get validatingwebhookconfiguration

NAME                                        WEBHOOKS   AGE
aks-node-validating-webhook                 1          117m
azure-service-mesh-ccp-validating-webhook   1          4m2s

Si l’installation de l’API de passerelle managée est activée, vous devez également voir le ConfigMap de personnalisation de la passerelle Istio être créé :

kubectl get cm -n aks-istio-system

NAME                                  DATA   AGE
...
istio-gateway-class-defaults          2      43s
...

Configurer l’entrée à l’aide d’une passerelle Kubernetes

Déployer un exemple d’application

Tout d'abord, déployez l'exemple d'application httpbin dans l'espace de noms default.

export ISTIO_RELEASE="release-1.27"
kubectl apply -f https://raw.githubusercontent.com/istio/istio/$ISTIO_RELEASE/samples/httpbin/httpbin.yaml

Créer une passerelle Kubernetes et HTTPRoute

Ensuite, déployez une configuration d'API de passerelle dans l'espace de noms default avec la valeur gatewayClassName définie sur approuting-istio.

kubectl apply -f - <<EOF
apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: httpbin-gateway
spec:
  gatewayClassName: approuting-istio
  listeners:
  - name: http
    port: 80
    protocol: HTTP
    allowedRoutes:
      namespaces:
        from: Same
---
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: httpbin
spec:
  parentRefs:
  - name: httpbin-gateway
  hostnames: ["httpbin.example.com"]
  rules:
  - matches:
    - path:
        type: PathPrefix
        value: /get
    backendRefs:
    - name: httpbin
      port: 8000
EOF

Vérifiez qu'un Deployment, Service, HorizontalPodAutoscaler, et PodDisruptionBudget sont créés pour httpbin-gateway :

kubectl get deployment httpbin-gateway-approuting-istio

NAME                               READY   UP-TO-DATE   AVAILABLE   AGE
httpbin-gateway-approuting-istio   2/2     2            2           6m41s

kubectl get service httpbin-gateway-approuting-istio

NAME                               TYPE           CLUSTER-IP   EXTERNAL-IP      PORT(S)                        AGE
httpbin-gateway-approuting-istio   LoadBalancer   10.0.54.96   <external-ip>    15021:30580/TCP,80:32693/TCP   7m13s

kubectl get hpa httpbin-gateway-approuting-istio

NAME                               REFERENCE                                     TARGETS       MINPODS   MAXPODS   REPLICAS   AGE
httpbin-gateway-approuting-istio   Deployment/httpbin-gateway-approuting-istio   cpu: 3%/80%   2         5         2          8m13s

kubectl get pdb httpbin-gateway-approuting-istio

NAME                               MIN AVAILABLE   MAX UNAVAILABLE   ALLOWED DISRUPTIONS   AGE
httpbin-gateway-approuting-istio   1               N/A               1                     9m1s

Envoyer une demande à un exemple d’application

Enfin, essayez d’envoyer une curl demande à l’application httpbin. Tout d’abord, définissez la variable d’environnement INGRESS_HOST :

kubectl wait --for=condition=programmed gateways.gateway.networking.k8s.io httpbin-gateway
export INGRESS_HOST=$(kubectl get gateways.gateway.networking.k8s.io httpbin-gateway -ojsonpath='{.status.addresses[0].value}')

Ensuite, essayez d’envoyer une requête HTTP à httpbin:

curl -s -I -HHost:httpbin.example.com "http://$INGRESS_HOST/get"

Vous devriez voir une HTTP 200 réponse.

Pour utiliser Terraform pour créer un cluster AKS avec l’implémentation de l’API passerelle de routage d’application activée, vous avez besoin des éléments suivants :

• Version Terraform1.9.0 ou ultérieure installée.
• Azure CLI installé et authentifié. Exécutez az --version pour rechercher votre azure-cli version et exécutez az upgrade la mise à niveau. Vous utilisez Azure CLI pour vous connecter au cluster après que Terraform l’a créé.
• kubectl installé. Vous pouvez l’installer localement à l’aide de la az aks install-cli commande. Vous utilisez kubectl pour déployer l’exemple d’application et les ressources d’API de passerelle.

Déployer un cluster AKS avec l’implémentation de l’API passerelle de routage d’application à l’aide de Terraform

Cette section montre comment utiliser Terraform pour déployer un cluster AKS avec l’installation de l’API de passerelle gérée et l’implémentation de l’API passerelle de routage d’applications activées.

Cet exemple déploie :

• Un groupe de ressources.
• Un cluster AKS qui utilise le plug-in réseau CNI Azure et un équilibreur de charge standard.
• L’installation de l’API Managed Gateway et l’implémentation de Gateway API pour le routage des applications, toutes deux activées sur le cluster via le fournisseur AzAPI. L’activation des deux paramètres rend la classe de passerelle managée AKS approuting-istio disponible sur le cluster.

1. Créez un répertoire pour tester et exécuter l’exemple de code Terraform et le rendre le répertoire actif.

2. Créez un fichier nommé main.tf et insérez le code suivant :

   terraform {
     required_version = ">= 1.9.0"
   
     required_providers {
       azurerm = {
         source  = "hashicorp/azurerm"
         version = "~> 4.0"
       }
       azapi = {
         source  = "Azure/azapi"
         version = "~> 2.0"
       }
       random = {
         source  = "hashicorp/random"
         version = "~> 3.0"
       }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   provider "azapi" {
     enable_preflight = true
   }
   
   resource "random_string" "suffix" {
     length  = 6
     upper   = false
     special = false
   }
   
   locals {
     location            = "eastus"
     resource_group_name = "rg-aks-gateway-api-${random_string.suffix.result}"
     cluster_name        = "aks-gwapi-${random_string.suffix.result}"
   }
   
   resource "azurerm_resource_group" "example" {
     name     = local.resource_group_name
     location = local.location
   }
   
   resource "azurerm_kubernetes_cluster" "example" {
     name                              = local.cluster_name
     location                          = azurerm_resource_group.example.location
     resource_group_name               = azurerm_resource_group.example.name
     dns_prefix                        = local.cluster_name
     role_based_access_control_enabled = true
   
     default_node_pool {
       name       = "system"
       node_count = 2
       vm_size    = "Standard_D4s_v4"
   
       upgrade_settings {
         drain_timeout_in_minutes      = 0
         max_surge                     = "10%"
         node_soak_duration_in_minutes = 0
       }
     }
   
     identity {
       type = "SystemAssigned"
     }
   
     network_profile {
       network_plugin    = "azure"
       load_balancer_sku = "standard"
     }
   }
   
   resource "azapi_update_resource" "gateway_api_app_routing" {
     type        = "Microsoft.ContainerService/managedClusters@2026-03-01"
     resource_id = azurerm_kubernetes_cluster.example.id
     body = {
       properties = {
         ingressProfile = {
           gatewayAPI = {
             installation = "Standard"
           }
           webAppRouting = {
             gatewayAPIImplementations = {
               appRoutingIstio = {
                 mode = "Enabled"
               }
             }
           }
         }
       }
     }
     response_export_values = [
       "properties.ingressProfile"
     ]
     depends_on = [
       azurerm_kubernetes_cluster.example
     ]
   }
   
   output "resource_group_name" {
     value = azurerm_resource_group.example.name
   }
   
   output "cluster_name" {
     value = azurerm_kubernetes_cluster.example.name
   }
   
   output "get_credentials_command" {
     value = "az aks get-credentials --resource-group ${azurerm_resource_group.example.name} --name ${azurerm_kubernetes_cluster.example.name} --overwrite-existing"
   }
   

3. Initialisez Terraform en exécutant la terraform init commande. Cette commande télécharge les fournisseurs Azure requis pour gérer les ressources Azure avec Terraform.

   terraform init
   

4. Mettez en forme et validez la configuration en exécutant les commandes terraform validate et terraform fmt.

   terraform fmt
   terraform validate
   

5. Créez un plan d’exécution Terraform en exécutant la terraform plan commande. Cette commande vous montre les ressources que Terraform crée ou modifie dans votre abonnement Azure.

   terraform plan
   

6. Appliquez le plan d’exécution Terraform en exécutant la terraform apply commande. Cette commande crée les ressources définies dans votre main.tf fichier dans votre abonnement Azure. Lorsque vous y êtes invité, entrez yes pour confirmer.

   terraform apply
   

Se connecter au cluster AKS à l’aide de Terraform

1. Obtenez les noms du groupe de ressources et du cluster à partir des sorties Terraform.

   terraform output -raw resource_group_name
   terraform output -raw cluster_name
   

2. Configurez kubectl pour vous connecter à votre cluster à l’aide de la az aks get-credentials commande. Cette commande télécharge les informations d’identification et configure l’interface CLI Kubernetes pour les utiliser. Remplacez <resource-group-name> et <cluster-name> par les valeurs notées à l’étape précédente. Vous pouvez également exécuter terraform output -raw get_credentials_command pour obtenir la commande complète et prête à l’exécution.

   az aks get-credentials --resource-group <resource-group-name> --name <cluster-name>
   

3. Vérifiez que le cluster est en cours d’exécution en exécutant la kubectl get nodes commande.

   kubectl get nodes
   

Vérifier la configuration de l’API de passerelle à l’aide de Terraform

1. Vérifiez que les istiod pods sont en cours d’exécution dans l’espace de noms aks-istio-system.

   kubectl get pods -n aks-istio-system
   

2. Vérifiez que gatewayClass approuting-istio existe et est accepté.

   kubectl get gatewayclass
   

   GatewayClass approuting-istio doit retourner True dans la ACCEPTED colonne.

Configurer l’entrée à l’aide d’une passerelle Kubernetes avec Terraform

Déployer l’exemple d’application à l’aide de Terraform

Déployez l’application exemple httpbin dans l’espace de noms default :

kubectl apply -f https://raw.githubusercontent.com/istio/istio/release-1.27/samples/httpbin/httpbin.yaml

Vérifiez que le httpbin pod et le service sont disponibles :

kubectl get pods -l app=httpbin
kubectl get svc httpbin

Créer les ressources Passerelle et HTTPRoute à l’aide de Terraform

L’exemple d’implémentation de l’API Gateway pour le routage des applications inclut un manifeste Gateway qui crée un écouteur HTTP sur le port 80 et utilise la GatewayClass approuting-istio gérée par AKS.

1. Créez un fichier nommé gateway.yaml et insérez le code suivant :

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     name: httpbin-gateway
   spec:
     gatewayClassName: approuting-istio
     listeners:
       - name: http
         port: 80
         protocol: HTTP
         allowedRoutes:
           namespaces:
             from: Same
   

2. Appliquez la Gateway configuration :

   kubectl apply -f gateway.yaml
   

   L’exemple inclut également un manifeste HTTPRoute qui redirige les requêtes pour httpbin.example.com/get vers le service httpbin sur le port 8000.

3. Créez un fichier nommé httproute.yaml et insérez le code suivant :

   apiVersion: gateway.networking.k8s.io/v1
   kind: HTTPRoute
   metadata:
     name: httpbin
   spec:
     parentRefs:
       - name: httpbin-gateway
     hostnames:
       - httpbin.example.com
     rules:
       - matches:
           - path:
               type: PathPrefix
               value: /get
         backendRefs:
           - name: httpbin
             port: 8000
   

4. Appliquez la HTTPRoute configuration :

   kubectl apply -f httproute.yaml
   

Vérifiez qu'un Deployment, Service, HorizontalPodAutoscaler, et PodDisruptionBudget sont créés pour httpbin-gateway :

kubectl get deployment httpbin-gateway-approuting-istio
kubectl get service httpbin-gateway-approuting-istio
kubectl get hpa httpbin-gateway-approuting-istio
kubectl get pdb httpbin-gateway-approuting-istio

Envoyer une requête à l’exemple d’application à l’aide de Terraform

Attendez que la passerelle signale une Programmed condition, puis obtenez son adresse externe :

kubectl wait --for=condition=programmed gateways.gateway.networking.k8s.io httpbin-gateway
export INGRESS_HOST=$(kubectl get gateways.gateway.networking.k8s.io httpbin-gateway -ojsonpath='{.status.addresses[0].value}')

Ensuite, envoyez une requête via la passerelle httpbin :

curl -s -I -HHost:httpbin.example.com "http://$INGRESS_HOST/get"

Vous devriez voir une HTTP 200 réponse.

Désactiver l’implémentation de l’API passerelle de routage d’application

Exécutez la commande suivante pour désactiver l’implémentation de l’API passerelle de routage d’application :

az aks update --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --disable-app-routing-istio

Nettoyer les ressources

Exécutez les commandes suivantes pour supprimer les ressources Gateway et HTTPRoute :

kubectl delete gateways.gateway.networking.k8s.io httpbin-gateway
kubectl delete httproute httpbin

Si vous avez créé un ConfigMap pour personnaliser votre Gatewayfichier, exécutez la commande suivante pour supprimer ConfigMap :

kubectl delete configmap gw-options

Si vous avez créé secretProviderClass et secret à utiliser pour l’arrêt TLS, supprimez les ressources suivantes :

kubectl delete secret httpbin-credential
kubectl delete pod secrets-store-sync-httpbin
kubectl delete secretproviderclass httpbin-credential-spc

Nettoyer les ressources à l’aide de Terraform

Dans cette section, vous avez déployé une application d’exemple limitée à un espace de noms ainsi que des ressources de la Gateway API. Si vous n’avez plus besoin de ces ressources Kubernetes, supprimez-les avant de supprimer l’infrastructure Azure sous-jacente.

Supprimez le HTTPRoute, Gatewayet l’exemple d’application à l’aide de la kubectl delete commande :

kubectl delete -f httproute.yaml
kubectl delete -f gateway.yaml
kubectl delete -f https://raw.githubusercontent.com/istio/istio/release-1.27/samples/httpbin/httpbin.yaml

Supprimez les ressources Azure créées par Terraform à l’aide de la terraform destroy commande. Lorsque vous y êtes invité, entrez yes pour confirmer.

terraform destroy