Container Service for Kubernetes:NGINX Ingressコントローラの使用に関する注意事項

システム設定を変更し、NGINXパラメーターを調整して、NGINX Ingressコントローラーのパフォーマンスを最適化できます。

• システム設定の変更: デフォルトでは、Alibaba Cloudが提供するオペレーティングシステムの一部の一般的な設定が最適化されています。 バックログキューや使用可能なポートの最大範囲など、他のシステム設定を変更することもできます。 システム設定を変更すると、NGINX Ingressコントローラーは多数の同時接続を処理できます。 これにより、ポート不足による接続障害も防止される。

• Tune NGINXパラメータ:

  • 各ワーカープロセスが処理できる最大接続数: 各ワーカーへの最大接続数を変更して、NGINX Ingressコントローラーが多数の同時接続を処理できるようにすることができます。

  • キープアライブ要求: NGINX Ingressコントローラーは、キープアライブ接続を介してバックエンドポッドに要求を送信します。 各キープアライブ接続で処理できるリクエストの最大数を増やすことができます。 このように、キープアライブ接続をより長く持続させて、より多くの要求を処理できる。

  • Keepalive timeout: バックエンドポッドへのkeepalive接続のタイムアウト期間が、NGINX Ingressコントローラーへの接続のタイムアウト期間よりも短くないことを確認します。 デフォルトでは、ACKクラスターのNGINX Ingressコントローラーへの接続のタイムアウト時間は900秒です。

ポッドテンプレートに次の設定を追加します。

apiVersion: apps/v1
kind: 配置
spec:
  テンプレート：
    仕様：
      containers:
      -name: アプリ
        ライフサイクル:
          # PreStopフックを設定して、ポッドが終了するまで30秒間実行し続けるようにします。 
          # podテンプレートでsleepコマンドを指定できます。 
          preStop:
            exec:
              command:
              -睡眠
              -30 

NGINX Ingressコントローラーは、Prometheus用のSimple Log ServiceとManaged Serviceに基づいたIngressダッシュボードを提供します。これにより、サービスへのトラフィックに関するより良い洞察を得ることができます。

• Log Service:

  • クラスターの作成時に [Log Serviceの有効化] と [Ingressダッシュボードの作成] を選択した場合、[ACKコンソール] にログインし、[ネットワーク] > [Ingress] を選択すると、[Ingressの概要] セクションで [Simple log Service] に基づいてACKが提供するIngressダッシュボードを表示できます。 [操作] > [ログセンター] を選択して、NGINX Ingressコントローラーのログを表示することもできます。 詳細については、「nginx-ingressのアクセスログの分析と監視」をご参照ください。

  • クラスターの作成時に [Log Serviceの有効化] または [Ingressダッシュボードの作成] を選択しない場合は、ログ収集のコンポーネントとルールを手動で設定できます。 詳細については、「nginx-ingressのアクセスログの分析と監視」をご参照ください。 NGINX Ingressコントローラーを監視する方法の詳細については、「Ingressダッシュボードの監視」をご参照ください。

• Prometheusのマネージドサービス: クラスターを作成するときに、Prometheusのマネージドサービスを有効にできます。 クラスターの作成後、[Operations] > [Prometheus Monitoring] を選択して、Prometheusのマネージドサービスを有効にしてアクセスすることもできます。 詳細については、「Prometheusのマネージドサービスを使用したACKクラスターのモニタリング」をご参照ください。

  説明

  Managed Service for Prometheusを使用する場合は、クラスターに作成されたIngressにhostフィールドを追加します。 それ以外の場合、一部のIngressメトリックはデフォルトで表示されません。 問題を解決するために、NGINX Ingressコントローラーのデプロイのコントローラーの起動パラメーターに -- metrics-per-host=falseを追加することもできます。

悪意のあるリクエストをブロックするには、Web Application Firewall (WAF) コンソールまたはApplication Load Balancer (ALB) コンソールにログインし、NGINX Ingressコントローラーで使用されるCLBインスタンスに対してWAFまたは透過的なWAFを有効にします。 HTTPSポートでWAFまたは透過的WAFを有効にするには、コンソールで必要な証明書を設定する必要があります。 証明書を設定すると、次の問題が発生する可能性があります。

• トランスポート層セキュリティ (TLS) 要求は、WAFまたは透過的WAFによってブロックされます。 したがって、クラスターのシークレットで構成されている証明書はインターネットに公開されません。

• CLBインスタンスのIPアドレスまたはLoadBalancerサービスのクラスターIPアドレスを使用してクラスター内からポート443にアクセスすると、トラフィックがWAFまたは透過的なWAFを通過できない場合があります。 その結果、システムが証明書を返すときにエラーが発生します。

• WAFまたは透過WAFが有効になっている場合、NGINX IngressコントローラーはデフォルトでクライアントIPアドレスを保持できません。 NGINX IngressコントローラーのConfigMapに次の内容を追加してNGINXのリアリップモジュールを有効にし、X-Forwarded-Forヘッダーを使用してクライアントIPアドレスを保持することができます。 [アドオン] ページからNGINX Ingressコントローラーをインストールする場合、ConfigMapはnginx-configurationという名前で、デフォルトでkube-system名前空間に属します。

  use-forwarded-headers: "true"# NGINX Ingressコントローラーのバージョンが0.30.0以前の場合は、このオプションを使用します。 
  enable-real-ip: "true"# NGINX Ingressコントローラのバージョンが0.44.0以降の場合は、このオプションを使用します。 
  proxy-real-ip-cidr: <WAFから取得したback-to-origin CIDRブロック> 

デフォルトでは、NGINX IngressコントローラーはHTTP経由でバックエンドサービスに接続します。 NGINX Ingressコントローラーは、バックエンドサービスに接続するための次のプロトコルをサポートしています: WebSocket、HTTPS、およびgRPC。 NGINX Ingressコントローラーでサポートされているプロトコルの詳細については、「バックエンドプロトコル」をご参照ください。

• WebSocket: NGINX IngressコントローラはデフォルトでWebSocketをサポートしています。 WebSocketリクエストを配信するようにNGINX Ingressコントローラーを設定する必要はありません。 WebSocket接続を存続させたい場合は、注釈を使用してバックエンドサービスへの接続のタイムアウト期間を調整できます。 これにより、接続タイムアウトによるサービスの中断が防止されます。 詳細については、「カスタムタイムアウト」をご参照ください。

• HTTPS: nginx ingressコントローラーを介してHTTPSサービスにアクセスする場合は、Ingressに注釈NGINX. Ingress. kubernetes.io/backend-protocol:"HTTPS" を追加できます。

• gRPC: gRPCサービスにはTLSポートからのみアクセスできます。 NGINX Ingressコントローラーを介してgRPCサービスにアクセスする場合は、TLS暗号化接続が使用されていることを確認してください。 gRPCの設定方法の詳細については、「NGINX IngressコントローラーのバックエンドにgRPCサービスをデプロイする」をご参照ください。