Container Service for Kubernetes:Nginx Ingress Controller のベストプラクティス

適切なレプリカ数とリソース制限の使用

デフォルトでは、Nginx Ingress Controller のレプリカ数は、クラスターで作成されたか、コンポーネントセンターからインストールされたかにかかわらず 2 です。必要に応じてレプリカ数を調整できます。リソースのプリエンプションと単一障害点を防ぐために、Nginx Ingress Controller が異なるノードに分散されていることを確認してください。また、専用ノードを使用して Nginx Ingress Controller のパフォーマンスと安定性を確保することもできます。詳細については、「専用ノードを使用した Nginx Ingress のパフォーマンスと安定性の向上」をご参照ください。メモリ不足 (OOM) エラーによるトラフィックの中断を防ぐため、Nginx Ingress Controller にリソース制限を設定しないことを推奨します。リソース制限を設定する必要がある場合は、CPU 制限を少なくとも 1,000 ミリコア、メモリ制限を少なくとも 2 GiB に設定することを推奨します。

専用ノードを使用した Nginx Ingress のパフォーマンスと安定性の向上

• Ingress Controller に高い安定性要件がある場合は、専用ノードを割り当ててリソースのプリエンプションを防ぐことができます。詳細については、「高可用性 Nginx Ingress Controller のデプロイ」をご参照ください。

• 高ペイロードのシナリオでは、高ペイロードアプリケーションをサポートするように Ingress Controller を構成することもできます。詳細については、「高ペイロードシナリオ向けに Nginx Ingress Controller を構成する」をご参照ください。

HPA を構成して Nginx Ingress Controller を自動的にスケールアウトする

ほとんどの場合、Nginx Ingress Controller はトラフィックのバーストを処理できます。高ペイロードのシナリオで Nginx Ingress Controller が要件を満たせない場合は、Horizontal Pod Autoscaler (HPA) を構成して Nginx Ingress Controller をスケールアウトできます。詳細については、「Horizontal Pod Autoscaling (HPA) の使用」をご参照ください。

次のコードは、サンプル YAML ファイルを提供します。

apiVersion: autoscaling/v2beta1
kind: HorizontalPodAutoscaler
metadata:
  name: nginx-ingress-controller-hpa
  namespace: kube-system
spec:
   scaleTargetRef:
     apiVersion: apps/v1
     kind: Deployment
     name: nginx-ingress-controller
   minReplicas: 2
   maxReplicas: 5
   metrics:
    - type: Resource
      resource:
        name: cpu
        targetAverageUtilization: 50

バックエンドサービスに適切な preStop フックを構成する

バックエンドサービスのローリングアップデート中、Nginx Ingress Controller は終了中の Pod のエンドポイントを削除し、処理中のリクエストの接続を維持します。バックエンドサービスの Pod が終了信号を受信した直後に終了すると、処理中のリクエストが失敗する可能性があります。タイミングの問題により、一部のトラフィックが終了した Pod に転送され続け、トラフィックの損失が発生することがあります。

ローリングアップデート中のトラフィック損失を防ぐために、バックエンドサービスの Pod に preStop フックを構成することを推奨します。これにより、Pod はエンドポイントが削除された後も一定期間実行し続け、トラフィックの中断を防ぎます。

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      containers:
      - name: app
        lifecycle:
          # 終了する前に 30 秒待機するように preStop フックを構成します。
          # sleep コマンドはコンテナー内に存在する必要があります。
          preStop:
            exec:
              command:
              - sleep
              - 30

SLS と Alibaba Cloud Prometheus を使用して可観測性を向上させる

複数の Nginx Ingress Controller の使用

一部のアプリケーションでは、パブリックネットワークとプライベートネットワークの分離などの目的で、クラスターに複数の Nginx Ingress Controller をデプロイする必要がある場合があります。詳細については、「複数の Ingress Controller のデプロイ」をご参照ください。

クラスター内から Nginx Ingress Controller にアクセスする

クラスター内では、LoadBalancer サービスの外部 IP アドレス (Nginx Ingress Controller のパブリック IP アドレス) へのトラフィックは、通常 iptables または IPVS によってルーティングされます。externalTrafficPolicy が Local に設定されていて、ノードに対応する Nginx Ingress Pod が存在しない場合、ネットワーク接続障害が発生します。デフォルトでは、ACK クラスターの Nginx Ingress Controller は Local モードで LoadBalancer サービスを使用します。そのため、クラスター内から Nginx Ingress Controller にバインドされた SLB アドレスにアクセスすると、ネットワーク接続障害が発生する可能性があります。Nginx Ingress Controller にアクセスするには、Service ClusterIP または内部ドメイン名 (nginx-ingress-lb.kube-system) を使用することを推奨します。Nginx Ingress Controller 自体からアクセスしないでください。これは、ヘアピン問題によりネットワーク接続障害を引き起こす可能性もあります。この問題の解決策の詳細については、「Kubernetes クラスターで LoadBalancer サービスによって公開された SLB アドレスへのアクセスに失敗する」をご参照ください。

WAF の使用

Nginx Ingress Controller を使用したアプリケーションのブルーグリーンデプロイメントまたは段階的リリース

Container Service for Kubernetes (ACK) コンソール の段階的リリース機能を使用するか、手動でアノテーションを追加して Nginx Ingress Controller が提供する段階的リリース機能を使用できます。詳細については、「Nginx Ingress を使用して段階的リリースとブルーグリーンデプロイメントを実装する」をご参照ください。

Nginx Ingress Controller を使用した非 HTTP リクエストのプロキシ