De Ingress-operator begrijpen | Netwerken (2024)

Vereisten

• U moet een certificaat/sleutelpaar hebben in PEM-gecodeerde bestanden, waarbij het certificaat is ondertekend door een vertrouwde certificeringsinstantie of door een particuliere, vertrouwde certificeringsinstantie die u in een aangepaste PKI hebt geconfigureerd.

• Uw certificaat voldoet aan de volgende eisen:

  • Het certificaat is geldig voor het ingangsdomein.

  • Het certificaat maakt gebruik van desubjectAltNameextensie om een ​​wildcard-domein op te geven, zoals*.apps.ocp4.voorbeeld.com.

• Je moet eenIngressControllerCR. U kunt de standaardversie gebruiken:

  $ ok--naamruimteopenshift-ingress-operator haalt ingresscontrollers op

  Voorbeelduitvoer

  NAAM LEEFTIJDstandaard 10m

Procedure

In het volgende wordt ervan uitgegaan dat het aangepaste certificaat en het sleutelpaar zich in detls.crtEntls.sleutelbestanden in de huidige werkmap. Vervang de werkelijke padnamen doortls.crtEntls.sleutel. U kunt ook een andere naam vervangencustom-certs-defaultbij het maken van de geheime bron en het ernaar verwijzen in de IngressController CR.

1. Maak een geheime bron met het aangepaste certificaat in deopenshift-ingangnaamruimte met behulp van detls.crtEntls.sleutelbestanden.

   $ ok--naamruimteopenshift-ingress maak geheime tls custom-certs-default--cert=tls.crt--sleutel=tls.sleutel

2. Werk de IngressController CR bij zodat deze verwijst naar het nieuwe certificaatgeheim:

   $ oc-patch--type=samenvoegen--naamruimteopenshift-ingress-operator ingresscontrollers/default\ --lapje '{"spec":{"defaultCertificate":{"name":custom-certs-default"}}}'

3. Controleer of de update effectief was:

   $ echoVraag |\openssl s_client-aansluitenconsole-openshift-console.apps.:443-showcertificaten2>/dev/null |\opensslx509-noout -onderwerp -uitgever -eddateren

   waar:

   Specificeert de basisdomeinnaam voor uw cluster.

   Voorbeelduitvoer

   onderwerp=C = US, ST = NC, L = Raleigh, O = RH, OU = OCP4, CN = *.apps.example.comissuer=C = US, ST = NC, L = Raleigh, O = RH, OU = OCP4, CN = example.comnotAfter=10 mei 08:32:45 2022 GM

   U kunt ook de volgende YAML toepassen om een ​​aangepast standaardcertificaat in te stellen: apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naam: standaard naamruimte: openshift-ingress-operatorspec: standaardCertificaat: naam: custom-certs-default

   De geheime naam van het certificaat moet overeenkomen met de waarde die wordt gebruikt om de CR bij te werken.

Vereisten

• U heeft als gebruiker toegang tot het cluster met decluster-adminrol.

• U hebt de OpenShift CLI geïnstalleerd (ok).

• U hebt eerder een aangepast standaardcertificaat geconfigureerd voor de Ingress-controller.

Procedure

• Om het aangepaste certificaat te verwijderen en het certificaat te herstellen dat bij OpenShift Container Platform wordt geleverd, voert u de volgende opdracht in:

  $ oc-patch-Nopenshift-ingress-operator ingresscontrollers/default\ --typejson-P $'- op: verwijderen\Npad: /spec/defaultCertificate'

  Er kan een vertraging optreden terwijl het cluster de nieuwe certificaatconfiguratie afstemt.

Verificatie

• Om te bevestigen dat het oorspronkelijke clustercertificaat is hersteld, voert u de volgende opdracht in:

  $ echoVraag |\openssl s_client-aansluitenconsole-openshift-console.apps.:443-showcertificaten2>/dev/null |\opensslx509-noout -onderwerp -uitgever -eddateren

  waar:

  Specificeert de basisdomeinnaam voor uw cluster.

  Voorbeelduitvoer

  subject=CN = *.apps.uitgever=CN = ingress-operator@1620633373notAfter=10 mei 10:44:36 2023 GMT

Vereisten

1. U hebt de OpenShift CLI (ok) geïnstalleerd.

2. U heeft als gebruiker toegang tot een OpenShift Container Platform-cluster met decluster-adminrol.

3. U hebt de Custom Metrics Autoscaler Operator geïnstalleerd.

4. Je bent in deopenshift-ingress-operatorprojectnaamruimte.

Procedure

1. Maak een serviceaccount om te authenticeren bij Thanos door de volgende opdracht uit te voeren:

   $ oc maak een serviceaccount aan thanos&&oc beschrijf serviceaccount thanos

   Voorbeelduitvoer

   Naam: thanosNamespace: openshift-ingress-operatorLabels: Annotaties: Afbeeldingsgeheimen: thanos-dockercfg-b4l9sMountable geheimen: thanos-dockercfg-b4l9sTokens: thanos-token-c422qGebeurtenissen: 

2. Definieer eenTriggerAuthenticatievoorwerp binnen deopenshift-ingress-operatornaamruimte met behulp van het token van het serviceaccount.

   1. Definieer de variabelegeheimdat het geheim bevat door de volgende opdracht uit te voeren:

      $ geheim=$(oc krijg geheim |grepthanos-token |hoofd -N1 |akelig '{ $1 afdrukken }')

   2. Maak deTriggerAuthenticatieobject en geef de waarde van de doorgeheimvariabel naar deTOKENparameter:

      $ oc-procesTOKEN="$geheim" -F-<<EOF| oc toepassen -f -apiVersion: template.openshift.io/v1kind: Templateparameters: - naam: TOKENobjects: - apiVersion: keda.sh/v1alpha1 soort: TriggerAuthentication metadata: naam: keda-trigger-auth-prometheus spec: secretTargetRef: - parameter: bearerTokennaam: \${TOKEN}sleutel: token - parameter: canaam: \${TOKEN}sleutel: ca.crtEOF

3. Creëer en pas een rol toe voor het lezen van statistieken van Thanos:

   1. Maak een nieuwe rol aan,thanos-metrics-reader.yaml, dat statistieken van pods en knooppunten leest:

      thanos-metrics-reader.yaml

      apiversie: rbac.authorization.k8s.io/v1vriendelijk: Rolmetagegevens: naam: thanos-metrics-lezerreglement:- apiGroepen: - "" bronnen: - peulen - knooppunten werkwoorden: - krijgen- apiGroepen: - metrics.k8s.io bronnen: - peulen - knooppunten werkwoorden: - krijgen - lijst - horloge- apiGroepen: - "" bronnen: - naamruimten werkwoorden: - krijgen

   2. Pas de nieuwe rol toe door de volgende opdracht uit te voeren:

      $ oc van toepassing-Fthanos-metrics-reader.yaml

4. Voeg de nieuwe rol toe aan het serviceaccount door de volgende opdrachten in te voeren:

   $ oc adm-beleid add-role-to-user thanos-metrics-reader-zdanos--rol-naamruimte=openshift-ingress-operator

   $ oc adm-beleid-Nopenshift-ingress-operator add-cluster-rol-to-user cluster-monitoring-view-zdanos

   Het argumentcluster-rol-aan-gebruiker toevoegenis alleen vereist als u cross-namespace-query's gebruikt. In de volgende stap wordt een query uit deKube-statistiekennaamruimte waarvoor dit argument vereist is.

5. Maak een nieuweGeschaaldObjectYAML-bestand,ingress-autoscaler.yaml, dat gericht is op de standaardimplementatie van Ingress Controller:

   VoorbeeldGeschaaldObjectdefinitie

   apiversie: keda.sh/v1alpha1vriendelijk: GeschaaldObjectmetagegevens: naam: ingress-scalerspec: schaalDoelRef: (1) apiversie: operator.openshift.io/v1 vriendelijk: IngressController naam: standaard envSourceContainerName: ingress-operator minReplicaCount: 1 maxReplicaCount: 20 (2) cooldownPeriode: 1 pollingInterval: 1 triggers: - type: Prometheus metrischType: Gemiddelde waarde metagegevens: server adres: https://thanos-querier.openshift-monitoring.svc.cluster.local:9091 (3) naamruimte: openshift-ingress-operator (4) metrische naam: 'wees knooppunt-rol' drempelwaarde: '1' vraag: 'sum(kube_node_role{role="worker",service="kube-state-metrics"})' (5) authModes: "toonder" authenticatieRef: naam: keda-trigger-auth-prometheus

   1	De aangepaste resource die u target. In dit geval de Ingress-controller.
   2	Optioneel: het maximale aantal replica's. Als u dit veld weglaat, wordt het standaardmaximum ingesteld op 100 replica's.
   3	Het Thanos-service-eindpunt in deopenploeg-bewakingnaamruimte.
   4	De naamruimte van de Ingress-operator.
   5	Deze expressie evalueert het aantal werkknooppunten dat aanwezig is in het geïmplementeerde cluster.

   Als u cross-namespace-query's gebruikt, moet u poort 9091 targeten en niet poort 9092 in deserver adresveld. U moet ook over verhoogde rechten beschikken om statistieken van deze poort te lezen.

6. Pas de aangepaste resourcedefinitie toe door de volgende opdracht uit te voeren:

   $ oc van toepassing-Fingress-autoscaler.yaml

Verificatie

• Controleer of de standaard Ingress-controller is uitgeschaald zodat deze overeenkomt met de waarde die wordt geretourneerd door dekube-state-metriekenquery door de volgende opdrachten uit te voeren:

  • Gebruik degrepopdracht om in het Ingress Controller YAML-bestand naar replica's te zoeken:

    $ oc krijg ingresscontroller/default-Ojaml |grepreplica's:

    Voorbeelduitvoer

    replica's: 3

  • Haal de peulen in deopenshift-ingangproject:

    $ oc krijg peulen-Nopenshift-ingang

    Voorbeelduitvoer

    NAAM KLAAR STATUS HERSTARTEN AGErouter-default-7b5df44ff-l9pmm 2/2 Actief 0 17hrouter-default-7b5df44ff-s5sl5 2/2 Actief 0 3d22hrouter-default-7b5df44ff-wwsth 2/2 Actief 0 66s

Aanvullende bronnen

• Monitoring mogelijk maken voor door de gebruiker gedefinieerde projecten

• De aangepaste autoscaler voor metrische gegevens installeren

• Inzicht in aangepaste metrische gegevens en autoscaler-trigger-authenticaties

• De aangepaste autoscaler voor metrische gegevens configureren om OpenShift Container Platform-bewaking te gebruiken

• Inzicht in hoe u aangepaste autoscalers voor metrische gegevens kunt toevoegen

Procedure

1. Bekijk het huidige aantal beschikbare replica's voor de standaardIngressController:

   $ oc krijg-Nopenshift-ingress-operator ingresscontrollers/default-O jsonpad='{$.status.availableReplicas}'

   Voorbeelduitvoer

   2

2. Schaal de standaardwaardeIngressControllernaar het gewenste aantal replica's met behulp van deoc-patchcommando. In het volgende voorbeeld wordt de standaard geschaaldIngressControllernaar 3 replica's:

   $ oc-patch-Nopenshift-ingress-operator ingresscontroller/default--lapje '{"spec":{"replica's": 3}}' --type=samenvoegen

   Voorbeelduitvoer

   ingresscontroller.operator.openshift.io/default gepatcht

3. Controleer of dit de standaard isIngressControllergeschaald naar het aantal replica's dat u hebt opgegeven:

   $ oc krijg-Nopenshift-ingress-operator ingresscontrollers/default-O jsonpad='{$.status.availableReplicas}'

   Voorbeelduitvoer

   3

   U kunt ook de volgende YAML toepassen om een ​​Ingress-controller te schalen naar drie replica's: apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naam: standaard naamruimte: openshift-ingress-operatorspec: replica's: 3 (1)

   1	Als u een ander aantal replica's nodig heeft, wijzigt u dereplica'swaarde.

Vereisten

• Log in als gebruiker metcluster-adminprivileges.

Procedure

Configureer Ingress-toegangsregistratie naar een zijspan.

• Om logboekregistratie van Ingress-toegang te configureren, moet u een bestemming opgeven met behulp vanspec.logging.access.destination. Als u het loggen naar een zijspancontainer wilt opgeven, moet u dit opgevenHouder spec.logging.access.destination.type. Het volgende voorbeeld is een Ingress Controller-definitie die zich aanmeldt bij eenHouderbestemming:

  apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naam: standaard naamruimte: openshift-ingress-operatorspec: replica's: 2 loggen: toegang: bestemming: type: Houder

• Wanneer u de Ingress-controller configureert om in te loggen op een zijspan, maakt de operator een container met de naamlogboekenin de Ingress-controllerpod:

  $ ok-Nopenshift-ingress logt deployment.apps/router-default-Clogboeken

  Voorbeelduitvoer

  2020-05-11T19:11:50.135710+00:00 router-default-57dfc6cd95-bpmk6 router-default-57dfc6cd95-bpmk6 haproxy[108]: 174.19.21.82:39654 [11/mei/2020:19:11:50.1 33] openbaar be_http:hello-openshift:hello-openshift/pod:hello-openshift:hello-openshift:10.128.2.12:8080 0/0/1/0/1 200 142 - - --NI 1/1/0/0/ 0 0/0 "KRIJGEN / HTTP/1.1"

• Om logboekregistratie van Ingress-toegang te configureren, moet u een bestemming opgeven met behulp vanspec.logging.access.destination. Als u logboekregistratie naar een Syslog-eindpuntbestemming wilt opgeven, moet u dit opgevenSyslogvoorspec.logging.access.destination.type. Als het bestemmingstype isSyslog, moet u ook een doeleindpunt opgeven met behulp vanspec.logging.access.destination.syslog.endpointen u kunt een faciliteit opgeven met behulp vanspec.logging.access.destination.syslog.facility. Het volgende voorbeeld is een Ingress Controller-definitie die zich aanmeldt bij eenSyslogbestemming:

  apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naam: standaard naamruimte: openshift-ingress-operatorspec: replica's: 2 loggen: toegang: bestemming: type: Syslog systeemlog: adres: 1.2.3.4 haven: 10514

  Desysteemlogbestemmingspoort moet UDP zijn.

• U kunt opgevenspec.logging.access.httpLogFormatom het logformaat aan te passen. Het volgende voorbeeld is een Ingress Controller-definitie die zich aanmeldt bij eensysteemlogeindpunt met IP-adres 1.2.3.4 en poort 10514:

  apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naam: standaard naamruimte: openshift-ingress-operatorspec: replica's: 2 loggen: toegang: bestemming: type: Syslog systeemlog: adres: 1.2.3.4 haven: 10514 httpLogFormat: '%ci:%cp [%T] % ft %b/%s %B % bq %HM %HU %HV'

• Als u het loggen van Ingress-toegang wilt uitschakelen, verlaat u ditspec.loggingofspec.logging.accessleeg:

  apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naam: standaard naamruimte: openshift-ingress-operatorspec: replica's: 2 loggen: toegang: nul

• Gebruikspec.logging.access.destination.syslog.maxLengthals je gebruiktspec.logging.access.destination.type: Syslog.

  apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naam: standaard naamruimte: openshift-ingress-operatorspec: replica's: 2 loggen: toegang: bestemming: type: Syslog systeemlog: adres: 1.2.3.4 maximale lengte: 4096 haven: 10514

• Gebruikspec.logging.access.destination.container.maxLengthals je gebruiktspec.logging.access.destination.type: container.

  apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naam: standaard naamruimte: openshift-ingress-operatorspec: replica's: 2 loggen: toegang: bestemming: type: Houder houder: maximale lengte: 8192

Vereisten

• In het volgende wordt ervan uitgegaan dat u al een Ingress-controller hebt gemaakt.

Procedure

• Update de Ingress-controller om het aantal threads te vergroten:

  $ ok-Nopenshift-ingress-operator patch ingresscontroller/default--type=samenvoegen-P '{"spec":{"tuningOptions": {"threadCount": 8}}}'

  Als u een knooppunt hebt dat grote hoeveelheden bronnen kan uitvoeren, kunt u dit configurerenspec.nodePlacement.nodeSelectormet labels die overeenkomen met de capaciteit van het beoogde knooppunt, en configurerenspec.tuningOptions.threadCounttot een passend hoge waarde.

Figuur 1. Diagram van LoadBalancer

• U kunt de taak extern verdelen met behulp van de load balancer van de cloudprovider, of intern met behulp van de OpenShift Ingress Controller Load Balancer.

• U kunt het enkele IP-adres van de load balancer en bekendere poorten gebruiken, zoals 8080 en 4200, zoals weergegeven in het cluster dat in de afbeelding wordt weergegeven.

• Verkeer van de externe load balancer wordt naar de pods geleid en beheerd door de load balancer, zoals weergegeven in het exemplaar van een down-knooppunt. Zie deKubernetes Services-documentatievoor implementatiedetails.

Vereisten

• Installeer de OpenShift CLI (ok).

• Log in als gebruiker metcluster-adminprivileges.

Procedure

1. Creëer eenIngressControlleraangepaste bron (CR) in een bestand met de naam-ingress-controller.yaml, zoals in het volgende voorbeeld:

   apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naamruimte: openshift-ingress-operator naam:  (1)spec: domein:  (2) eindpuntPublishingStrategie: type: LoadBalancerService belastingBalancer: domein: Intern (3)

   1	Vervangenmet een naam voor deIngressControllervoorwerp.
   2	Specificeer dedomeinvoor de door de verwerkingsverantwoordelijke gepubliceerde applicatie.
   3	Geef een waarde op vanInternom een ​​interne load balancer te gebruiken.

2. Maak de Ingress-controller die in de vorige stap is gedefinieerd door de volgende opdracht uit te voeren:

   $ oc creëren-F-ingress-controller.yaml(1)

   1	Vervangenmet de naam van deIngressControllervoorwerp.

3. Optioneel: Bevestig dat de Ingress-controller is gemaakt door de volgende opdracht uit te voeren:

   $ ok--all-naamruimten=WAARverkrijg ingresscontrollers

Vereisten

• U heeft een OpenShift Container Platform-cluster geïmplementeerd op de GCP-infrastructuur.

• U hebt een Ingress-controller geconfigureerd om een ​​interne load balancer te gebruiken.

• U hebt de OpenShift CLI geïnstalleerd (ok).

Procedure

1. Configureer de Ingress Controller-bron om globale toegang toe te staan.

   U kunt ook een Ingress-controller maken en de globale toegangsoptie opgeven.

   1. Configureer de Ingress Controller-bron:

      $ ok-Nopenshift-ingress-operator bewerk ingresscontroller/default

   2. Bewerk het YAML-bestand:

      Steekproefklanttoegangconfiguratie naarGlobaal

       spec: eindpuntPublishingStrategie: belastingBalancer: providerParameters: gcp: klanttoegang: Globaal (1) type: GCP domein: Intern type: LoadBalancerService

      1	Setgcp.clientAccessnaarGlobaal.

   3. Sla het bestand op om de wijzigingen toe te passen.

2. Voer de volgende opdracht uit om te controleren of de service globale toegang toestaat:

   $ ok-Nopenshift-ingress bewerk svc/router-default-Ojaml

   Uit de uitvoer blijkt dat globale toegang is ingeschakeld voor GCP met de annotatie:network.gke.io/internal-load-balancer-allow-global-access.

Vereisten

• In het volgende wordt ervan uitgegaan dat u al een Ingress-controller hebt gemaakt.

Procedure

• Update de Ingress-controller om het interval tussen back-end-statuscontroles te wijzigen:

  $ ok-Nopenshift-ingress-operator patch ingresscontroller/default--type=samenvoegen-P '{"spec":{"tuningOptions": {"healthCheckInterval": "8s"}}}'

  Om degezondheidCheckIntervalvoor een enkele route gebruikt u de routeannotatierouter.openshift.io/haproxy.health.check.interval

Vereisten

• Installeer de OpenShift CLI (ok).

• Log in als gebruiker metcluster-adminprivileges.

Procedure

1. Configureer destandaardIngress-controller zodat uw cluster intern is door deze te verwijderen en opnieuw te maken.

   $ oc vervangen--kracht --wachten --bestandsnaam-<<EOFapiVersion: operator.openshift.io/v1kind: IngressControllermetadata: naamruimte: openshift-ingress-operatornaam: standaardspecificatie: endpointPublishingStrategy: type: LoadBalancerService loadBalancer: bereik: InternEOF

Vereisten

• Clusterbeheerdersrechten.

Procedure

• Bewerk de.spec.routeToegangveld van deingangscontrollerresourcevariabele met behulp van de volgende opdracht:

  $ ok-Nopenshift-ingress-operator patch ingresscontroller/default--lapje '{"spec":{"routeAdmission":{"namespaceOwnership 'InterNamespaceAllowed'}}}' --type=samenvoegen

  Voorbeeld van configuratie van Ingress-controller

  spec: routeToegang: naamruimteEigendom: InterNamespaceToegestaan...

  U kunt ook de volgende YAML toepassen om het routetoelatingsbeleid te configureren: apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naam: standaard naamruimte: openshift-ingress-operatorspec: routeToegang: naamruimteEigendom: InterNamespaceToegestaan

Procedure

1. Configureer het jokertekenbeleid.

   1. Gebruik de volgende opdracht om hetIngressControllerbron:

      $ oc bewerk IngressController

   2. Onderspec, stel dewildcardBeleidveld naarWildcardsNiet toegestaanofWildcardsToegestaan:

      spec: routeToegang: wildcardBeleid: WildcardsNiet toegestaan # of WildcardsToegestaan

Volgorde van prioriteit

Wanneer dezelfde HTTP-header zowel in de Ingress Controller als in een route wordt gewijzigd, geeft HAProxy op bepaalde manieren prioriteit aan de acties, afhankelijk van of het een request- of response-header is.

Een clusterbeheerder stelt bijvoorbeeld de X-Frame-Options-antwoordheader in met de waardeONTKENNENin de Ingress-controller met behulp van de volgende configuratie:

apiversie: operator.openshift.io/v1vriendelijk: IngressController# ...spec: httpHeaders: acties: antwoord: - naam: X-Frame-opties actie: type: Set set: waarde: ONTKENNEN

Een route-eigenaar stelt dezelfde antwoordheader in die de clusterbeheerder heeft ingesteld in de Ingress-controller, maar met de waardeSAMEORIGINEmet behulp van de volgende configuratie:

apiversie: route.openshift.io/v1vriendelijk: Route# ...spec: httpHeaders: acties: antwoord: - naam: X-Frame-opties actie: type: Set set: waarde: SAMEORIGINE

Wanneer zowel deIngressControllerspec enRoutespec de X-Frame-Options header configureren, dan zal de waarde die voor deze header op globaal niveau in de Ingress Controller is ingesteld voorrang krijgen, zelfs als een specifieke route frames toestaat.

Deze prioriteitstelling vindt plaats omdat dehaproxy.config-bestand gebruikt de volgende logica, waarbij de Ingress-controller wordt beschouwd als de front-end en individuele routes als de back-end. De headerwaardeONTKENNENtoegepast op de front-endconfiguraties overschrijft dezelfde header met de waardeSAMEORIGINEdat is ingesteld in de backend:

frontend public http-response set-header X-Frame-Options 'DENY'frontend fe_sni http-response set-header X-Frame-Options 'DENY'frontend fe_no_sni http-response set-header X-Frame-Options 'DENY'backend be_secure :openshift-monitoring:alertmanager-main http-response set-header X-Frame-Options 'SAMEORIGIN'

Bovendien worden alle acties die zijn gedefinieerd in de Ingress Controller of een route-overschrijvingswaarde ingesteld met behulp van routeannotaties.

Speciale case-headers

Het is niet mogelijk om de volgende headers in te stellen of te verwijderen, of ze zijn onder specifieke omstandigheden toegestaan:

Vereisten

• U hebt de OpenShift CLI geïnstalleerd (ok).

• U heeft als gebruiker toegang tot een OpenShift Container Platform-cluster met decluster-adminrol.

Procedure

1. Bewerk de Ingress Controller-bron:

   $ ok-Nopenshift-ingress-operator bewerk ingresscontroller/default

2. Vervang de X-SSL-Client-Der HTTP-verzoekheader door de X-Forwarded-Client-Cert HTTP-verzoekheader:

   apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naam: standaard naamruimte: openshift-ingress-operatorspec: httpHeaders: acties: (1) verzoek: (2) - naam: X-Forwarded-Client-certificaat (3) actie: type: Set (4) set: waarde: "%{+Q}[ssl_c_der,base64]" (5) - naam: X-SSL-Client-Der actie: type: Verwijderen

   1	De lijst met acties die u wilt uitvoeren op de HTTP-headers.
   2	Het type koptekst dat u wilt wijzigen. In dit geval een verzoekheader.
   3	De naam van de koptekst die u wilt wijzigen. Voor een lijst met beschikbare headers die u kunt instellen of verwijderen, zieConfiguratie van HTTP-header.
   4	Het type actie dat wordt ondernomen op de koptekst. Dit veld kan de waarde hebbenSetofVerwijderen.
   5	Bij het instellen van HTTP-headers moet u eenwaarde. De waarde kan bijvoorbeeld een tekenreeks zijn uit een lijst met beschikbare richtlijnen voor die headerONTKENNEN, of het kan een dynamische waarde zijn die wordt geïnterpreteerd met behulp van de dynamische waardesyntaxis van HAProxy. In dit geval wordt een dynamische waarde toegevoegd.

   Voor het instellen van dynamische headerwaarden voor HTTP-reacties zijn toegestane voorbeeldophaalprogramma's toegestaanres.hdrEnssl_c_der. Voor het instellen van dynamische headerwaarden voor HTTP-verzoeken zijn toegestane voorbeeldophaalprogramma's toegestaanvereist.hdrEnssl_c_der. Zowel de aanvraag- als de respons-dynamische waarden kunnen delagerEnbasis64converters.

3. Sla het bestand op om de wijzigingen toe te passen.

Procedure

1. Configureer deHTTP-headersveld voor de Ingress-controller.

   1. Gebruik de volgende opdracht om hetIngressControllerbron:

      $ oc bewerk IngressController

   2. Onderspec, stel deHTTP-headersbeleidsveld naarToevoegen,Vervangen,Indien Geen, ofNooit:

      apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naam: standaard naamruimte: openshift-ingress-operatorspec: httpHeaders: doorgestuurdHeaderPolicy: Toevoegen

• Configureer een externe proxy die hetX-doorgestuurd-voorheader in elk verzoek voordat u het doorstuurt naar een Ingress-controller.

  Als u de Ingress-controller wilt configureren om de header ongewijzigd door te geven, geeft u denooitbeleid. De Ingress Controller stelt dan nooit de headers in, en applicaties ontvangen alleen de headers die de externe proxy levert.

• Configureer de Ingress-controller om deX-doorgestuurd-voorheader die uw externe proxy instelt op externe clusterverzoeken via ongewijzigd.

  Om de Ingress-controller te configureren om deX-doorgestuurd-voorheader op interne clusterverzoeken, die niet via de externe proxy gaan, specificeert u deals-geenbeleid. Als bij een HTTP-verzoek de header al is ingesteld via de externe proxy, behoudt de Ingress-controller deze. Als de header ontbreekt omdat het verzoek niet via de proxy is binnengekomen, voegt de Ingress Controller de header toe.

• Configureer een applicatiespecifieke externe proxy die deX-doorgestuurd-voorkoptekst.

  Als u een Ingress-controller wilt configureren om de header ongewijzigd door te geven voor de route van een toepassing, zonder het beleid voor andere routes te beïnvloeden, voegt u een annotatie toehaproxy.router.openshift.io/set-forwarded-headers: als-geenofhaproxy.router.openshift.io/set-forwarded-headers: nooitop de route voor de toepassing.

  U kunt dehaproxy.router.openshift.io/set-forwarded-headersannotatie per route, onafhankelijk van de globaal ingestelde waarde voor de Ingress Controller.

Procedure

Schakel HTTP/2 in op één enkele Ingress-controller.

• Om HTTP/2 op een Ingress-controller in te schakelen, voert u hetoc annoterencommando:

  $ ok-Nopenshift-ingress-operator annoteer ingresscontrollers/ ingress.operator.openshift.io/default-enable-http2=WAAR

  Vervangenmet de naam van de Ingress-controller die u wilt annoteren.

• Om HTTP/2 voor het hele cluster in te schakelen, voert u hetoc annoterencommando:

  $ oc annoteer ingress.config/cluster ingress.operator.openshift.io/default-enable-http2=WAAR

  U kunt ook de volgende YAML toepassen om de annotatie toe te voegen: apiversie: config.openshift.io/v1vriendelijk: Binnenkomenmetagegevens: naam: TROS annotaties: ingress.operator.openshift.io/default-enable-http2: "WAAR"

Vereisten

• U hebt een Ingress-controller gemaakt.

Procedure

1. Bewerk de Ingress Controller-bron:

   $ ok-Nopenshift-ingress-operator bewerk ingresscontroller/default

2. Stel de PROXY-configuratie in:

   • Als uw Ingress-controller het hostNetwork-eindpuntpublicatiestrategietype gebruikt, stelt u despec.endpointPublishingStrategy.hostNetwork.protocolsubveld naarVOLMACHT:

     Steekproefhostnetwerkconfiguratie naarVOLMACHT

      spec: eindpuntPublishingStrategie: hostnetwerk: protocol: VOLMACHT type: Hostnetwerk

   • Als uw Ingress-controller het NodePortService-eindpuntpublicatiestrategietype gebruikt, stelt u despec.endpointPublishingStrategy.nodePort.protocolsubveld naarVOLMACHT:

     SteekproefknooppuntPoortconfiguratie naarVOLMACHT

      spec: eindpuntPublishingStrategie: knooppuntPoort: protocol: VOLMACHT type: NodePortService

Vereisten

• U hebt een OpenShift Container Platform-cluster geïmplementeerd.

• Je hebt deokopdrachtregelinterface.

Procedure

1. Configureer deappsDomeinveld door een alternatief standaarddomein op te geven voor door de gebruiker gemaakte routes.

   1. Bewerk de ingangTROSbron:

      $ oc bewerk ingress.config/cluster-Ojaml

   2. Bewerk het YAML-bestand:

      SteekproefappsDomeinconfiguratie naartest.voorbeeld.com

      apiversie: config.openshift.io/v1vriendelijk: Binnenkomenmetagegevens: naam: TROSspec: domein: apps.voorbeeld.com (1) appsDomein:  (2)

      1	Specificeert het standaarddomein. U kunt het standaarddomein na de installatie niet wijzigen.
      2	Optioneel: Domein voor OpenShift Container Platform-infrastructuur om te gebruiken voor applicatieroutes. In plaats van het standaardvoorvoegsel,apps, kunt u een alternatief voorvoegsel gebruiken, zoalstest.

2. Controleer of een bestaande route de domeinnaam bevat die is opgegeven in hetappsDomeinveld door de route bloot te leggen en de wijziging van het routedomein te verifiëren:

   Wacht op deopenshift-apiservervoltooi de rolling updates voordat u de route openbaar maakt.

   1. Geef de route bloot:

      $ oc expose service hallo-openshiftroute.route.openshift.io/hello-openshift zichtbaar

      Voorbeelduitvoer:

      $ oc routes ophalenNAAM HOST/HAVENPAD DIENSTEN HAVENBEËINDIGING WILDCARDhello-openshift hello_openshift-.test.voorbeeld.comhallo-openshift 8080-tcp Geen

Vereisten

• U hebt de OpenShift CLI geïnstalleerd (ok).

• U heeft als gebruiker toegang tot het cluster met decluster-adminrol.

Procedure

Als clusterbeheerder kunt u de HTTP-header converteren door deoc-patchcommando of door het instellen van deHeaderNameCaseAanpassingenveld in het Ingress Controller YAML-bestand.

• Geef een HTTP-header op die met een hoofdletter moet worden geschreven door deoc-patchcommando.

  1. Voer deoc-patchopdracht om de HTTP te wijzigengastheerkop naarGastheer:

     $ ok-Nopenshift-ingress-operator patch ingresscontrollers/default--type=samenvoegen--lapje='{"spec":{"httpHeaders":{"headerNameCaseAdjustments":["Host"]}}}'

  2. Annoteer de route van de applicatie:

     $ oc annoteer routes/mijn-applicatie haproxy.router.openshift.io/h1-adjust-case=WAAR

     De Ingress-controller past vervolgens degastheerverzoekheader zoals opgegeven.

• Geef aanpassingen op met behulp van deHeaderNameCaseAanpassingenveld door het Ingress Controller YAML-bestand te configureren.

  1. In het volgende voorbeeld past Ingress Controller YAML degastheerkop naarGastheervoor HTTP/1-verzoeken naar correct geannoteerde routes:

     Voorbeeld Ingress-controller YAML

     apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naam: standaard naamruimte: openshift-ingress-operatorspec: httpHeaders: headerNameCaseAdjustments: - Gastheer

  2. Met de volgende voorbeeldroute worden aanpassingen in hoofdletters en kleine letters van de HTTP-antwoordheader mogelijk gemaakt met behulp van dehaproxy.router.openshift.io/h1-adjust-caseannotatie:

     Voorbeeldroute YAML

     apiversie: route.openshift.io/v1vriendelijk: Routemetagegevens: annotaties: haproxy.router.openshift.io/h1-adjust-case: WAAR (1) naam: mijn aanvraag naamruimte: mijn aanvraagspec: naar: vriendelijk: Dienst naam: mijn aanvraag

     1	Sethaproxy.router.openshift.io/h1-adjust-casenaar waar.

Procedure

1. Configureer dehttpCompressieveld voor de Ingress-controller.

   1. Gebruik de volgende opdracht om hetIngressControllerbron:

      $ oc bewerken-Nopenshift-ingress-operator ingresscontrollers/default

   2. Onderspec, stel dehttpCompressiebeleidsveld naarmime-typenen specificeer een lijst met MIME-typen waarop compressie moet worden toegepast:

      apiversie: operator.openshift.io/v1vriendelijk: IngressControllermetagegevens: naam: standaard naamruimte: openshift-ingress-operatorspec: httpCompressie: mime-typen: - "tekst/html" - "tekst/css; tekenset=utf-8" - "applicatie/json"  ...

Vereisten

• U hebt uw firewall geconfigureerd om toegang te krijgen tot de standaardstatistiekenpoort, 1936.

Procedure

1. Haal de naam van de routerpod op door de volgende opdracht uit te voeren:

   $ oc krijg peulen-Nopenshift-ingang

   Voorbeelduitvoer

   NAAM KLAAR STATUS HERSTARTEN AGrouter-default-76bfffb66c-46qwp 1/1 Actief 0 11u

2. Haal de gebruikersnaam en het wachtwoord van de router op, die de router-pod opslaat in de/var/lib/haproxy/conf/metrics-auth/statsGebruikersnaamEn/var/lib/haproxy/conf/metrics-auth/statsPasswordbestanden:

   1. Haal de gebruikersnaam op door de volgende opdracht uit te voeren:

      $ oc rsh katmetrics-auth/statsGebruikersnaam

   2. Haal het wachtwoord op door de volgende opdracht uit te voeren:

      $ oc rsh katmetrics-auth/statsPassword

3. Haal de IP- en metrische certificaten van de router op door de volgende opdracht uit te voeren:

   $ oc beschrijf pod 

4. Haal de onbewerkte statistieken op in Prometheus-formaat door de volgende opdracht uit te voeren:

   $ Krul-u: http://:/metrics

5. Krijg veilig toegang tot de statistieken door de volgende opdracht uit te voeren:

   $ Krul-ugebruiker:wachtwoord https://:/metrics-k

6. Krijg toegang tot de standaardstatistiekenpoort, 1936, door de volgende opdracht uit te voeren:

   $ Krul-u: http://:/metrics

   Voorbeelduitvoer

   ...# HELP haproxy_backend_connections_total Totaal aantal verbindingen.# TYPE haproxy_backend_connections_total meterhaproxy_backend_connections_total{backend="http",namespace="default",route="hello-route"} 0haproxy_backend_connections_total{backend="http",namespace="default",route="hello-route-alt"} 0haproxy_backend_connections_total{backend= "http",namespace="default",route="hello-route01"} 0...# HELP haproxy_exporter_server_threshold Aantal gevolgde servers en de huidige drempelwaarde.# TYPE haproxy_exporter_server_threshold-meterhaproxy_exporter_server_threshold{type="current"} 11haproxy_exporter_server_threshold{type="limit"} 500...# HELP haproxy_frontend_bytes_in_total Huidig ​​totaal aantal inkomende bytes.# TYPE haproxy_frontend_bytes_in_total meterhaproxy_frontend_bytes_in_total{frontend="fe_no_sni"} 0haproxy_frontend_bytes_in_total{frontend="fe_sni"} 0haproxy_frontend_bytes_in_total{frontend="openbaar"} 119070...# HELP haproxy_server_bytes_in_total Huidig ​​totaal aantal inkomende bytes.# TYPE haproxy_server_bytes_in_total meterhaproxy_server_bytes_in_total{namespace="",pod="",route="",server="fe_no_sni",service=""} 0haproxy_server_bytes_in_total{namespace="",pod="",route="",server="fe_sni" ,service=""} 0haproxy_server_bytes_in_total{namespace="default",pod="docker-registry-5-nk5fz",route="docker-registry",server="10.130.0.89:5000",service="docker-register "} 0haproxy_server_bytes_in_total{namespace="default",pod="hello-rc-vkjqx",route="hello-route",server="10.130.0.90:8080",service="hello-svc-1"} 0...

7. Start het statistiekenvenster door de volgende URL in een browser in te voeren:

   http://:@:

8. Optioneel: verkrijg de statistieken in CSV-formaat door de volgende URL in een browser in te voeren:

   http://:@:1936/metrics;csv

Aangepaste antwoordpagina's voor HTTP-foutcodes moeten deHAProxy HTTP-foutpaginaconfiguratierichtlijnen. Hier is een voorbeeld van de standaard OpenShift Container Platform HAProxy-routerhttp 503 foutcode antwoordpagina. U kunt de standaardinhoud gebruiken als sjabloon voor het maken van uw eigen aangepaste pagina.

Procedure

1. Maak een configuratiekaart met de naammijn-aangepaste-foutcodepagina'sin deopenshift-confignaamruimte:

   $ ok-Nopenshift-config maak configmap mijn-aangepaste-foutcodepagina's\--van bestand=foutpagina-503.http\--van bestand=foutpagina-404.http

   Als u niet het juiste formaat opgeeft voor de aangepaste foutcodereactiepagina, treedt er een storing in de routerpod op. Om deze storing op te lossen, moet u de configuratiekaart verwijderen of corrigeren en de getroffen routerpods verwijderen, zodat ze opnieuw kunnen worden gemaakt met de juiste informatie.

2. Patch de Ingress-controller zodat deze verwijst naar demijn-aangepaste-foutcodepagina'sconfiguratiekaart op naam:

   $ oc-patch-Nopenshift-ingress-operator ingresscontroller/default--lapje '{"spec":{"httpErrorCodePages":{"name":mijn-aangepaste-foutcodepagina's"}}}' --type=samenvoegen

   De Ingress-operator kopieert hetmijn-aangepaste-foutcodepagina'sconfiguratiekaart van deopenshift-confignaamruimte naar deopenshift-ingangnaamruimte. De Operator benoemt de configuratiekaart volgens het patroon,-foutpagina's, in deopenshift-ingangnaamruimte.

3. Toon de kopie:

   $ oc krijg cm standaardfoutenpagina's-Nopenshift-ingang

   Voorbeelduitvoer

   NAAM GEGEVENS AGEstandaardfoutenpagina's 2 25s(1)

   1	De naam van de voorbeeldconfiguratiekaart isstandaardfoutenomdat destandaardDe aangepaste resource (CR) van Ingress Controller is gepatcht.

4. Bevestig dat de configuratietoewijzing met de aangepaste foutreactiepagina wordt geactiveerd op het routervolume waar de configuratietoewijzingssleutel de bestandsnaam is met de aangepaste HTTP-foutcodereactie:

   • Voor aangepaste 503 aangepaste HTTP-foutcodereactie:

     $ ok-Nopenshift-ingress rsh kat/var/lib/haproxy/conf/error_code_pages/error-page-503.http

   • Voor aangepaste 404-HTTP aangepaste foutcodereactie:

     $ ok-Nopenshift-ingress rsh kat/var/lib/haproxy/conf/error_code_pages/error-page-404.http

Verificatie

Controleer uw aangepaste HTTP-reactie met foutcode:

1. Maak een testproject en aanvraag aan:

   $ oc nieuwe projecten testen

   $ oc nieuwe app django-psql-voorbeeld

2. Voor een aangepaste 503-http-foutcodereactie:

   1. Stop alle peulen voor de toepassing.

   2. Voer de volgende curl-opdracht uit of bezoek de hostnaam van de route in de browser:

      $ Krul-vk

3. Voor een aangepaste 404-http-foutcodereactie:

   1. Bezoek een niet-bestaande route of een onjuiste route.

   2. Voer de volgende curl-opdracht uit of bezoek de hostnaam van de route in de browser:

      $ Krul-vk

4. Controleer of defoutbestandattribuut staat correct in dehaproxy.configbestand:

   $ ok-Nopenshift-ingress rsh kat/var/lib/haproxy/conf/haproxy.config |grepfoutbestand

Vereisten

• In het volgende wordt ervan uitgegaan dat u al een Ingress-controller hebt gemaakt

Procedure

• Update de Ingress-controller om het maximale aantal verbindingen voor HAProxy te wijzigen:

  $ ok-Nopenshift-ingress-operator patch ingresscontroller/default--type=samenvoegen-P '{"spec":{"tuningOptions": {"maxConnections": 7500}}}'

  Als u despec.tuningOptions.maxConnectionswaarde groter is dan de huidige limiet van het besturingssysteem, zal het HAProxy-proces niet starten. Zie de tabel in de sectie 'Ingress Controller-configuratieparameters' voor meer informatie over deze parameter.