透過 Azure Kubernetes Service (AKS) 的應用程式路由附加元件，使用 Kubernetes Gateway API 設定輸入流量。

更新 Azure CLI 版本

您必須使用 azure-cli 版本 2.86.0 或更高版本。 執行 az --version 查找 azure-cli 版本，然後執行 az upgrade 來升級。

啟用託管閘道 API CRD

啟用 管理閘道 API 安裝。 不支援將自我管理的 Gateway API CRD 與應用程式路由附加元件一起使用。

AKS 自動預設行為（AKS 1.36 及更新版本）

在運行 AKS 1.36 或更新版本的新 AKS Automatic 叢集中，透過應用程式路由外掛預設啟用 Kubernetes Gateway API。

你通常不需要執行功能啟用命令，除非你是：

• 使用現有的叢集。
• 我用的是較早期的 AKS 版本。
• 關閉後重新啟用該功能。

啟用應用程式路由閘道 API 實作

在叢集建立時啟用

在建立 AKS Standard 叢集時，執行以下指令以啟用應用程式路由閘道 API 實作：

# Set environment variables
export CLUSTER=<cluster-name>
export RESOURCE_GROUP=<resource-group-name>

# Enable the application routing Gateway API implementation during AKS Standard cluster creation
az aks create --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --enable-gateway-api --enable-app-routing-istio

啟用現有叢集

執行以下指令以啟用現有叢集的應用程式路由閘道 API 實作：

# Set environment variables
export CLUSTER=<cluster-name>
export RESOURCE_GROUP=<resource-group-name>

# Enable the application routing Gateway API implementation for an existing cluster
az aks update --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --enable-gateway-api --enable-app-routing-istio

您應該會在 istiod 命名空間中看到 aks-istio-system Pod：

kubectl get pods -n aks-istio-system

NAME                      READY   STATUS    RESTARTS   AGE
istiod-12a3bc45de-fghi6   1/1     Running   0          3m15s
istiod-78j9kl01mn-opqrs   1/1     Running   0          3m

您也應該會看到已部署 ValidatingWebhookConfiguration：

kubectl get validatingwebhookconfiguration

NAME                                        WEBHOOKS   AGE
aks-node-validating-webhook                 1          117m
azure-service-mesh-ccp-validating-webhook   1          4m2s

如果你啟用了 Managed Gateway API Installation，你也會看到 Istio 閘道自訂 ConfigMap 被建立。

kubectl get cm -n aks-istio-system

NAME                                  DATA   AGE
...
istio-gateway-class-defaults          2      43s
...

使用 Kubernetes 閘道設定入口

部署範例應用程式

首先，在httpbin命名空間中部署範例default應用程式。

export ISTIO_RELEASE="release-1.27"
kubectl apply -f https://raw.githubusercontent.com/istio/istio/$ISTIO_RELEASE/samples/httpbin/httpbin.yaml

建立 Kubernetes 閘道和 HTTP 路由

接下來，在命名空間中 default 部署閘道 API 組態，並將設定 gatewayClassName 為 approuting-istio。

kubectl apply -f - <<EOF
apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: httpbin-gateway
spec:
  gatewayClassName: approuting-istio
  listeners:
  - name: http
    port: 80
    protocol: HTTP
    allowedRoutes:
      namespaces:
        from: Same
---
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: httpbin
spec:
  parentRefs:
  - name: httpbin-gateway
  hostnames: ["httpbin.example.com"]
  rules:
  - matches:
    - path:
        type: PathPrefix
        value: /get
    backendRefs:
    - name: httpbin
      port: 8000
EOF

驗證是否已為 Deployment 建立 Service、HorizontalPodAutoscaler、PodDisruptionBudget 和 httpbin-gateway：

kubectl get deployment httpbin-gateway-approuting-istio

NAME                               READY   UP-TO-DATE   AVAILABLE   AGE
httpbin-gateway-approuting-istio   2/2     2            2           6m41s

kubectl get service httpbin-gateway-approuting-istio

NAME                               TYPE           CLUSTER-IP   EXTERNAL-IP      PORT(S)                        AGE
httpbin-gateway-approuting-istio   LoadBalancer   10.0.54.96   <external-ip>    15021:30580/TCP,80:32693/TCP   7m13s

kubectl get hpa httpbin-gateway-approuting-istio

NAME                               REFERENCE                                     TARGETS       MINPODS   MAXPODS   REPLICAS   AGE
httpbin-gateway-approuting-istio   Deployment/httpbin-gateway-approuting-istio   cpu: 3%/80%   2         5         2          8m13s

kubectl get pdb httpbin-gateway-approuting-istio

NAME                               MIN AVAILABLE   MAX UNAVAILABLE   ALLOWED DISRUPTIONS   AGE
httpbin-gateway-approuting-istio   1               N/A               1                     9m1s

傳送請求至範例應用程式

最後，嘗試向應用程式發送curlhttpbin請求。 首先，設定 INGRESS_HOST 環境變數：

kubectl wait --for=condition=programmed gateways.gateway.networking.k8s.io httpbin-gateway
export INGRESS_HOST=$(kubectl get gateways.gateway.networking.k8s.io httpbin-gateway -ojsonpath='{.status.addresses[0].value}')

然後，嘗試將 HTTP 請求傳送至 httpbin：

curl -s -I -HHost:httpbin.example.com "http://$INGRESS_HOST/get"

您應該會看到回應 HTTP 200 。

要使用 Terraform 建立一個啟用應用程式路由閘道 API 實作的 AKS 叢集，你需要：

• 已安裝 Terraform 版本1.9.0或更新版本。
• 已安裝並驗證 Azure CLI。 執行 az --version 查找 azure-cli 版本，然後執行 az upgrade 來升級。 在 Terraform 建立叢集後，你會使用 Azure CLI 連線到該叢集。
• Kubectl 已安裝。 你可以用指令 az aks install-cli 在本地安裝。 你用 kubectl 來部署範例應用程式和閘道 API 資源。

使用 Terraform 部署帶有應用程式路由閘道 API 實作的 AKS 叢集

本節說明如何使用 Terraform 部署 AKS 叢集，並啟用 Managed Gateway API 安裝及應用程式路由 Gateway API 實作。

此範例會部署：

• 資源群組。
• 一個使用 Azure CNI 網路外掛和標準負載平衡器的 AKS 叢集。
• Managed Gateway API 安裝與應用程式路由 Gateway API 實作，皆透過 AzAPI 提供者在叢集上啟用。 啟用這兩個設定後，AKS 管理 approuting-istio 的 GatewayClass 會被叢集存取。

1. 建立一個目錄來測試並執行範例 Terraform 程式碼，並將其設為目前的目錄。

2. 建立名為 main.tf的檔案，並插入下列程序代碼：

   terraform {
     required_version = ">= 1.9.0"
   
     required_providers {
       azurerm = {
         source  = "hashicorp/azurerm"
         version = "~> 4.0"
       }
       azapi = {
         source  = "Azure/azapi"
         version = "~> 2.0"
       }
       random = {
         source  = "hashicorp/random"
         version = "~> 3.0"
       }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   provider "azapi" {
     enable_preflight = true
   }
   
   resource "random_string" "suffix" {
     length  = 6
     upper   = false
     special = false
   }
   
   locals {
     location            = "eastus"
     resource_group_name = "rg-aks-gateway-api-${random_string.suffix.result}"
     cluster_name        = "aks-gwapi-${random_string.suffix.result}"
   }
   
   resource "azurerm_resource_group" "example" {
     name     = local.resource_group_name
     location = local.location
   }
   
   resource "azurerm_kubernetes_cluster" "example" {
     name                              = local.cluster_name
     location                          = azurerm_resource_group.example.location
     resource_group_name               = azurerm_resource_group.example.name
     dns_prefix                        = local.cluster_name
     role_based_access_control_enabled = true
   
     default_node_pool {
       name       = "system"
       node_count = 2
       vm_size    = "Standard_D4s_v4"
   
       upgrade_settings {
         drain_timeout_in_minutes      = 0
         max_surge                     = "10%"
         node_soak_duration_in_minutes = 0
       }
     }
   
     identity {
       type = "SystemAssigned"
     }
   
     network_profile {
       network_plugin    = "azure"
       load_balancer_sku = "standard"
     }
   }
   
   resource "azapi_update_resource" "gateway_api_app_routing" {
     type        = "Microsoft.ContainerService/managedClusters@2026-03-01"
     resource_id = azurerm_kubernetes_cluster.example.id
     body = {
       properties = {
         ingressProfile = {
           gatewayAPI = {
             installation = "Standard"
           }
           webAppRouting = {
             gatewayAPIImplementations = {
               appRoutingIstio = {
                 mode = "Enabled"
               }
             }
           }
         }
       }
     }
     response_export_values = [
       "properties.ingressProfile"
     ]
     depends_on = [
       azurerm_kubernetes_cluster.example
     ]
   }
   
   output "resource_group_name" {
     value = azurerm_resource_group.example.name
   }
   
   output "cluster_name" {
     value = azurerm_kubernetes_cluster.example.name
   }
   
   output "get_credentials_command" {
     value = "az aks get-credentials --resource-group ${azurerm_resource_group.example.name} --name ${azurerm_kubernetes_cluster.example.name} --overwrite-existing"
   }
   

3. 透過執行 terraform init 指令來初始化 Terraform。 此指令會下載使用 Terraform 管理 Azure 資源所需的 Azure 提供程式。

   terraform init
   

4. 透過執行 terraform fmt and terraform validate 指令來格式化並驗證設定。

   terraform fmt
   terraform validate
   

5. 透過執行 terraform plan 指令建立 Terraform 執行計畫。 這個指令會顯示 Terraform 在你的 Azure 訂閱中所建立或修改的資源。

   terraform plan
   

6. 執行 terraform apply 指令以套用 Terraform 執行計畫。 這個指令會建立你 Azure 訂閱中檔案中定義的main.tf資源。 出現提示時，請輸入 yes 以進行確認。

   terraform apply
   

使用 Terraform 連接 AKS 叢集

1. 從 Terraform 輸出取得資源群組和叢集名稱。

   terraform output -raw resource_group_name
   terraform output -raw cluster_name
   

2. 使用 kubectl 指令設定 az aks get-credentials 以連線至你的叢集。 此命令會下載認證，並設定 Kubernetes CLI 來使用這些認證。 以先前步驟中的值取代 <resource-group-name> 和 <cluster-name>。 或者，執行 terraform output -raw get_credentials_command 即可取得完整且可直接執行的指令。

   az aks get-credentials --resource-group <resource-group-name> --name <cluster-name>
   

3. 透過執行 kubectl get nodes 指令確認叢集是否在運作。

   kubectl get nodes
   

請使用 Terraform 驗證閘道 API 設定

1. 確認 istiod pods 是否在 aks-istio-system 命名空間中運行。

   kubectl get pods -n aks-istio-system
   

2. 確認 approuting-istio GatewayClass 是否存在且被接受。

   kubectl get gatewayclass
   

   approuting-istio GatewayClass 應該在 ACCEPTED 欄中傳回 True。

透過使用 Kubernetes 閘道器搭配 Terraform 來設定 Ingress

使用 Terraform 部署範例應用程式

在命名空間中部署範例 httpbin 應用程式 default ：

kubectl apply -f https://raw.githubusercontent.com/istio/istio/release-1.27/samples/httpbin/httpbin.yaml

確認 httpbin 該艙和服務是否可用：

kubectl get pods -l app=httpbin
kubectl get svc httpbin

使用 Terraform 建立閘道器與 HTTPRoute 資源

應用程式路由閘道 API 實作範例包含一個 Gateway 清單，在 80 埠建立 HTTP 監聽器，並使用 AKS 管理 approuting-istio 的 GatewayClass。

1. 建立名為 gateway.yaml的檔案，並插入下列程序代碼：

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     name: httpbin-gateway
   spec:
     gatewayClassName: approuting-istio
     listeners:
       - name: http
         port: 80
         protocol: HTTP
         allowedRoutes:
           namespaces:
             from: Same
   

2. 套用以下 Gateway 配置：

   kubectl apply -f gateway.yaml
   

   範例中還包含一個HTTPRoute資訊清單，將對 httpbin.example.com/get 的請求路由至連接埠 httpbin 上的 8000 服務。

3. 建立名為 httproute.yaml的檔案，並插入下列程序代碼：

   apiVersion: gateway.networking.k8s.io/v1
   kind: HTTPRoute
   metadata:
     name: httpbin
   spec:
     parentRefs:
       - name: httpbin-gateway
     hostnames:
       - httpbin.example.com
     rules:
       - matches:
           - path:
               type: PathPrefix
               value: /get
         backendRefs:
           - name: httpbin
             port: 8000
   

4. 套用以下 HTTPRoute 配置：

   kubectl apply -f httproute.yaml
   

驗證是否已為 Deployment 建立 Service、HorizontalPodAutoscaler、PodDisruptionBudget 和 httpbin-gateway：

kubectl get deployment httpbin-gateway-approuting-istio
kubectl get service httpbin-gateway-approuting-istio
kubectl get hpa httpbin-gateway-approuting-istio
kubectl get pdb httpbin-gateway-approuting-istio

使用 Terraform 向範例應用程式發送請求

等待閘道器回報 Programmed 狀態，然後取得其外部位址：

kubectl wait --for=condition=programmed gateways.gateway.networking.k8s.io httpbin-gateway
export INGRESS_HOST=$(kubectl get gateways.gateway.networking.k8s.io httpbin-gateway -ojsonpath='{.status.addresses[0].value}')

接著，透過閘道器向 發送請求：httpbin

curl -s -I -HHost:httpbin.example.com "http://$INGRESS_HOST/get"

您應該會看到回應 HTTP 200 。

停用應用程式路由閘道 API 實作

執行以下指令以停用應用程式路由閘道 API 實作：

az aks update --resource-group ${RESOURCE_GROUP} --name ${CLUSTER} --disable-app-routing-istio

清理資源

執行以下指令刪除 Gateway 和 HTTPRoute 資源：

kubectl delete gateways.gateway.networking.k8s.io httpbin-gateway
kubectl delete httproute httpbin

如果您已建立 ConfigMap 來自訂您的Gateway，請執行以下指令來刪除該 ConfigMap：

kubectl delete configmap gw-options

如果你建立了 SecretProviderClass 和 secret 來用於 TLS 終止，請刪除以下資源：

kubectl delete secret httpbin-credential
kubectl delete pod secrets-store-sync-httpbin
kubectl delete secretproviderclass httpbin-credential-spc

利用 Terraform 清理資源

在本節中，你部署了一個以命名空間為範疇的範例應用程式和閘道 API 資源。 如果你不再需要這些 Kubernetes 資源，請在移除底層 Azure 基礎設施前刪除它們。

使用以下指令刪除 HTTPRoute、 Gateway和範例應用程式 kubectl delete ：

kubectl delete -f httproute.yaml
kubectl delete -f gateway.yaml
kubectl delete -f https://raw.githubusercontent.com/istio/istio/release-1.27/samples/httpbin/httpbin.yaml

請使用 指令terraform destroy移除 Terraform 建立的 Azure 資源。 當系統提示時，請輸入 yes 以確認。

terraform destroy