Azure Kubernetes Service (AKS)のアプリケーション ルーティング アドオンを使用して Kubernetes Gateway API を使用してイングレスを構成する

Azure CLI のバージョンを更新する

azure-cliバージョン2.86.0以降を使用する必要があります。 az --versionを実行してazure-cliのバージョンを見つけ、az upgradeを実行してアップグレードします。

マネージド ゲートウェイ API の CRD を有効にする

Managed Gateway API のインストールを有効にします。 アプリケーション ルーティング アドオンでのセルフマネージド ゲートウェイ API CRD の使用はサポートされていません。

AKS 自動既定の動作 (AKS 1.36 以降)

AKS 1.36 以降を実行する新しい AKS 自動クラスターでは、アプリケーション ルーティング アドオンを介した Kubernetes Gateway API が既定で有効になります。

通常、次の場合を除き、機能有効化コマンドを実行する必要はありません。

• 既存のクラスターの使用。
• 以前の AKS バージョンを実行しています。
• 機能を無効にした後に再び有効にします。

アプリケーション ルーティング ゲートウェイ API の実装を有効にする

クラスターの作成時に有効にする

AKS Standard クラスターの作成時にアプリケーション ルーティング ゲートウェイ API の実装を有効にするには、次のコマンドを実行します。

# Set environment variables
export CLUSTER=<cluster-name>
export RESOURCE_GROUP=<resource-group-name>

# Enable the application routing Gateway API implementation during AKS Standard cluster creation
az aks create --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --enable-app-routing-istio

既存のクラスターに対して有効にする

次のコマンドを実行して、既存のクラスターのアプリケーション ルーティング ゲートウェイ API の実装を有効にします。

# Set environment variables
export CLUSTER=<cluster-name>
export RESOURCE_GROUP=<resource-group-name>

# Enable the application routing Gateway API implementation for an existing cluster
az aks update --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --enable-app-routing-istio

istiod名前空間にaks-istio-systemポッドが表示されます。

kubectl get pods -n aks-istio-system

NAME                      READY   STATUS    RESTARTS   AGE
istiod-12a3bc45de-fghi6   1/1     Running   0          3m15s
istiod-78j9kl01mn-opqrs   1/1     Running   0          3m

次にValidatingWebhookConfigurationがデプロイされることが確認できます。

kubectl get validatingwebhookconfiguration

NAME                                        WEBHOOKS   AGE
aks-node-validating-webhook                 1          117m
azure-service-mesh-ccp-validating-webhook   1          4m2s

Managed Gateway API のインストールが有効になっている場合は、Istio ゲートウェイのカスタマイズ ConfigMap も作成されます。

kubectl get cm -n aks-istio-system

NAME                                  DATA   AGE
...
istio-gateway-class-defaults          2      43s
...

Kubernetes ゲートウェイを使用してイングレスを構成する

サンプル アプリケーションをデプロイする

まず、httpbin名前空間にサンプル default アプリケーションをデプロイします。

export ISTIO_RELEASE="release-1.27"
kubectl apply -f https://raw.githubusercontent.com/istio/istio/$ISTIO_RELEASE/samples/httpbin/httpbin.yaml

Kubernetes ゲートウェイと HTTPRoute を作成する

次に、defaultを gatewayClassName に設定して、approuting-istio名前空間にゲートウェイ API 構成をデプロイします。

kubectl apply -f - <<EOF
apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: httpbin-gateway
spec:
  gatewayClassName: approuting-istio
  listeners:
  - name: http
    port: 80
    protocol: HTTP
    allowedRoutes:
      namespaces:
        from: Same
---
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: httpbin
spec:
  parentRefs:
  - name: httpbin-gateway
  hostnames: ["httpbin.example.com"]
  rules:
  - matches:
    - path:
        type: PathPrefix
        value: /get
    backendRefs:
    - name: httpbin
      port: 8000
EOF

Deployment用にService、HorizontalPodAutoscaler、PodDisruptionBudget、httpbin-gatewayが作成されることを確認します。

kubectl get deployment httpbin-gateway-approuting-istio

NAME                               READY   UP-TO-DATE   AVAILABLE   AGE
httpbin-gateway-approuting-istio   2/2     2            2           6m41s

kubectl get service httpbin-gateway-approuting-istio

NAME                               TYPE           CLUSTER-IP   EXTERNAL-IP      PORT(S)                        AGE
httpbin-gateway-approuting-istio   LoadBalancer   10.0.54.96   <external-ip>    15021:30580/TCP,80:32693/TCP   7m13s

kubectl get hpa httpbin-gateway-approuting-istio

NAME                               REFERENCE                                     TARGETS       MINPODS   MAXPODS   REPLICAS   AGE
httpbin-gateway-approuting-istio   Deployment/httpbin-gateway-approuting-istio   cpu: 3%/80%   2         5         2          8m13s

kubectl get pdb httpbin-gateway-approuting-istio

NAME                               MIN AVAILABLE   MAX UNAVAILABLE   ALLOWED DISRUPTIONS   AGE
httpbin-gateway-approuting-istio   1               N/A               1                     9m1s

サンプル アプリケーションに要求を送信する

最後に、curl アプリケーションにhttpbin要求を送信してみてください。 まず、 INGRESS_HOST 環境変数を設定します。

kubectl wait --for=condition=programmed gateways.gateway.networking.k8s.io httpbin-gateway
export INGRESS_HOST=$(kubectl get gateways.gateway.networking.k8s.io httpbin-gateway -ojsonpath='{.status.addresses[0].value}')

次に、 httpbinに HTTP 要求を送信してみてください。

curl -s -I -HHost:httpbin.example.com "http://$INGRESS_HOST/get"

HTTP 200応答が表示されます。

Terraform を使用して、アプリケーション ルーティング ゲートウェイ API 実装が有効になっている AKS クラスターを作成するには、次のものが必要です。

• Terraform バージョン 1.9.0 以降がインストールされています。
• インストールされて認証されている Azure CLI。 az --versionを実行してazure-cliのバージョンを見つけ、az upgradeを実行してアップグレードします。 Azure CLIを使用して、Terraform でクラスターを作成した後にクラスターに接続します。
• kubectl がインストールされています。 az aks install-cli コマンドを使用してローカルにインストールできます。 kubectlを使用して、サンプル アプリケーションとゲートウェイ API リソースをデプロイします。

Terraform を使用して、アプリケーション ルーティング ゲートウェイ API 実装を使用して AKS クラスターをデプロイする

このセクションでは、Terraform を使用して 、Managed Gateway API のインストール とアプリケーション ルーティング ゲートウェイ API 実装が有効になっている AKS クラスターをデプロイする方法について説明します。

このサンプルでは、次のものをデプロイします。

• リソース グループ。
• Azure CNI ネットワーク プラグインと標準ロード バランサーを使用する AKS クラスター。
• Managed Gateway API のインストールとアプリケーション ルーティング ゲートウェイ API の実装。どちらも AzAPI プロバイダーを介してクラスターで有効になっています。 両方の設定を有効にすると、クラスターで AKS マネージド approuting-istio GatewayClass を使用できるようになります。

1. サンプルの Terraform コードをテストして実行するディレクトリを作成し、それを現在のディレクトリにします。

2. main.tf という名前のファイルを作成し、次のコードを挿入します。

   terraform {
     required_version = ">= 1.9.0"
   
     required_providers {
       azurerm = {
         source  = "hashicorp/azurerm"
         version = "~> 4.0"
       }
       azapi = {
         source  = "Azure/azapi"
         version = "~> 2.0"
       }
       random = {
         source  = "hashicorp/random"
         version = "~> 3.0"
       }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   provider "azapi" {
     enable_preflight = true
   }
   
   resource "random_string" "suffix" {
     length  = 6
     upper   = false
     special = false
   }
   
   locals {
     location            = "eastus"
     resource_group_name = "rg-aks-gateway-api-${random_string.suffix.result}"
     cluster_name        = "aks-gwapi-${random_string.suffix.result}"
   }
   
   resource "azurerm_resource_group" "example" {
     name     = local.resource_group_name
     location = local.location
   }
   
   resource "azurerm_kubernetes_cluster" "example" {
     name                              = local.cluster_name
     location                          = azurerm_resource_group.example.location
     resource_group_name               = azurerm_resource_group.example.name
     dns_prefix                        = local.cluster_name
     role_based_access_control_enabled = true
   
     default_node_pool {
       name       = "system"
       node_count = 2
       vm_size    = "Standard_D4s_v4"
   
       upgrade_settings {
         drain_timeout_in_minutes      = 0
         max_surge                     = "10%"
         node_soak_duration_in_minutes = 0
       }
     }
   
     identity {
       type = "SystemAssigned"
     }
   
     network_profile {
       network_plugin    = "azure"
       load_balancer_sku = "standard"
     }
   }
   
   resource "azapi_update_resource" "gateway_api_app_routing" {
     type        = "Microsoft.ContainerService/managedClusters@2026-03-01"
     resource_id = azurerm_kubernetes_cluster.example.id
     body = {
       properties = {
         ingressProfile = {
           gatewayAPI = {
             installation = "Standard"
           }
           webAppRouting = {
             gatewayAPIImplementations = {
               appRoutingIstio = {
                 mode = "Enabled"
               }
             }
           }
         }
       }
     }
     response_export_values = [
       "properties.ingressProfile"
     ]
     depends_on = [
       azurerm_kubernetes_cluster.example
     ]
   }
   
   output "resource_group_name" {
     value = azurerm_resource_group.example.name
   }
   
   output "cluster_name" {
     value = azurerm_kubernetes_cluster.example.name
   }
   
   output "get_credentials_command" {
     value = "az aks get-credentials --resource-group ${azurerm_resource_group.example.name} --name ${azurerm_kubernetes_cluster.example.name} --overwrite-existing"
   }
   

3. terraform init コマンドを実行して Terraform を初期化します。 このコマンドは、Terraform を使用してAzureリソースを管理するために必要なAzure プロバイダーをダウンロードします。

   terraform init
   

4. terraform fmtコマンドとterraform validate コマンドを実行して、構成の書式設定と検証を行います。

   terraform fmt
   terraform validate
   

5. terraform plan コマンドを実行して、Terraform 実行プランを作成します。 このコマンドは、Terraform が Azure サブスクリプションで作成または変更するリソースを示します。

   terraform plan
   

6. terraform apply コマンドを実行して、Terraform 実行プランを適用します。 このコマンドは、Azure サブスクリプションのmain.tf ファイルに定義されているリソースを作成します。 メッセージが表示されたら、「 yes 」と入力して確認します。

   terraform apply
   

Terraform を使用して AKS クラスターに接続する

1. Terraform 出力からリソース グループとクラスター名を取得します。

   terraform output -raw resource_group_name
   terraform output -raw cluster_name
   

2. az aks get-credentials コマンドを使用してクラスターに接続するようにkubectlを構成します。 このコマンドは、資格情報をダウンロードし、それを使用するように Kubernetes CLI を構成します。 <resource-group-name> と <cluster-name> は、前の手順で取得した値に置き換えてください。 または、 terraform output -raw get_credentials_command を実行して、すぐに実行できる完全なコマンドを取得します。

   az aks get-credentials --resource-group <resource-group-name> --name <cluster-name>
   

3. kubectl get nodes コマンドを実行して、クラスターが実行されていることを確認します。

   kubectl get nodes
   

Terraform を使用してゲートウェイ API 構成を確認する

1. aks-istio-system名前空間でistiodポッドが実行されていることを確認します。

   kubectl get pods -n aks-istio-system
   

2. approuting-istio GatewayClass が存在し、受け入れられることを確認します。

   kubectl get gatewayclass
   

   approuting-istio GatewayClass は、ACCEPTED列のTrueを返す必要があります。

Terraform で Kubernetes ゲートウェイを使用してイングレスを構成する

Terraform を使用してサンプル アプリケーションをデプロイする

default名前空間にサンプル httpbin アプリケーションをデプロイします。

kubectl apply -f https://raw.githubusercontent.com/istio/istio/release-1.27/samples/httpbin/httpbin.yaml

httpbin ポッドとサービスが使用可能であることを確認します。

kubectl get pods -l app=httpbin
kubectl get svc httpbin

Terraform を使用してゲートウェイと HTTPRoute リソースを作成する

アプリケーション ルーティング ゲートウェイ API の実装サンプルには、ポート 80 で HTTP リスナーを作成し、AKS マネージド approuting-istio GatewayClass を使用するGateway マニフェストが含まれています。

1. gateway.yaml という名前のファイルを作成し、次のコードを挿入します。

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     name: httpbin-gateway
   spec:
     gatewayClassName: approuting-istio
     listeners:
       - name: http
         port: 80
         protocol: HTTP
         allowedRoutes:
           namespaces:
             from: Same
   

2. Gateway構成を適用します。

   kubectl apply -f gateway.yaml
   

   このサンプルには、ポート 8000のhttpbin サービスにhttpbin.example.com/getの要求をルーティングするHTTPRoute マニフェストも含まれています。

3. httproute.yaml という名前のファイルを作成し、次のコードを挿入します。

   apiVersion: gateway.networking.k8s.io/v1
   kind: HTTPRoute
   metadata:
     name: httpbin
   spec:
     parentRefs:
       - name: httpbin-gateway
     hostnames:
       - httpbin.example.com
     rules:
       - matches:
           - path:
               type: PathPrefix
               value: /get
         backendRefs:
           - name: httpbin
             port: 8000
   

4. HTTPRoute構成を適用します。

   kubectl apply -f httproute.yaml
   

Deployment用にService、HorizontalPodAutoscaler、PodDisruptionBudget、httpbin-gatewayが作成されることを確認します。

kubectl get deployment httpbin-gateway-approuting-istio
kubectl get service httpbin-gateway-approuting-istio
kubectl get hpa httpbin-gateway-approuting-istio
kubectl get pdb httpbin-gateway-approuting-istio

Terraform を使用してサンプル アプリケーションに要求を送信する

ゲートウェイが Programmed 条件を報告するのを待ってから、その外部アドレスを取得します。

kubectl wait --for=condition=programmed gateways.gateway.networking.k8s.io httpbin-gateway
export INGRESS_HOST=$(kubectl get gateways.gateway.networking.k8s.io httpbin-gateway -ojsonpath='{.status.addresses[0].value}')

次に、ゲートウェイを介して httpbin に要求を送信します。

curl -s -I -HHost:httpbin.example.com "http://$INGRESS_HOST/get"

HTTP 200応答が表示されます。

アプリケーション ルーティング ゲートウェイ API の実装を無効にする

次のコマンドを実行して、アプリケーション ルーティング ゲートウェイ API の実装を無効にします。

az aks update --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --disable-app-routing-istio

リソースをクリーンアップする

次のコマンドを実行して、 Gateway と HTTPRoute リソースを削除します。

kubectl delete gateways.gateway.networking.k8s.io httpbin-gateway
kubectl delete httproute httpbin

Gatewayをカスタマイズするために ConfigMap を作成した場合は、次のコマンドを実行して ConfigMap を削除します。

kubectl delete configmap gw-options

TLS 終了に使用する SecretProviderClass とシークレットを作成した場合は、次のリソースを削除します。

kubectl delete secret httpbin-credential
kubectl delete pod secrets-store-sync-httpbin
kubectl delete secretproviderclass httpbin-credential-spc

Terraform を使用してリソースをクリーンアップする

このセクションでは、名前空間スコープのサンプル アプリケーションとゲートウェイ API リソースをデプロイしました。 これらの Kubernetes リソースが不要になった場合は、基になる Azure インフラストラクチャを削除する前に、それらを削除してください。

kubectl delete コマンドを使用して、HTTPRoute、Gateway、サンプル アプリケーションを削除します。

kubectl delete -f httproute.yaml
kubectl delete -f gateway.yaml
kubectl delete -f https://raw.githubusercontent.com/istio/istio/release-1.27/samples/httpbin/httpbin.yaml

terraform destroy コマンドを使用して、Terraform によって作成されたAzure リソースを削除します。 メッセージが表示されたら、「 yes 」と入力して確認します。

terraform destroy