：升級Nginx Ingress Controller組件

前置檢查表

升級相容性說明

在組件的開發和維護過程中，Nginx Ingress Controller組件的新版本可能會引入新的功能、改進現有功能或者修複安全問題，但同時也可能因為內部架構的調整、依賴庫的變化等原因，導致與之前版本存在相容性差異。關於Nginx Ingress Controller的變更記錄，請參見Nginx Ingress Controller。

snippet註解預設禁用

影響版本：v1.9.3-aliyun.1以下（不包括v1.9.3-aliyun.1）。

由於安全原因，自v1.9.3-aliyun.1版本起，Nginx Ingress Controller將預設禁用所有snippet註解，可能包括：

• nginx.ingress.kubernetes.io/configuration-snippet

• nginx.ingress.kubernetes.io/server-snippet

• nginx.ingress.kubernetes.io/stream-snippet

• nginx.ingress.kubernetes.io/auth-snippet

• nginx.ingress.kubernetes.io/modsecurity-snippet

出於安全和穩定性風險的考慮，建議您優先使用相關註解或者設定項來實現所需功能。

如您仍需要使用snippet註解能力，請在充分評估風險後，通過在ConfigMapkube-system/nginx-configuration中添加allow-snippet-annotations: "true"手動開啟註解功能。

不支援較低版本的TLS

影響版本：v1.7.0-aliyun.1以下（不包括v1.7.0-aliyun.1）。

由於TLS1.1及以下版本存在安全問題，Nginx Ingress Controller新版本不再預設支援TLS v1.1和TLS v1.0的加密方式。因此，在升級前，請確保您的業務不依賴v1.1及以下版本的TLS，並且在配置中將其移除。修改ConfigMap後會立即生效。

例如，若Nginx Ingress Controller組件的ConfigMap（kube-system/nginx-configuration）配置如下所示：

ssl-protocols: SSLv3 SSLv2 TLSv1 TLSv1.1 TLSv1.2 TLSv1.3

您需要在確認業務不受影響後，可直接將該行設定移除，使用預設選項；或者選擇移除SSLv3、SSLv2、TLSv1、TLSv1.1四項，改為：

ssl-protocols: TLSv1.2 TLSv1.3

若您需要強制使用舊版本的TLS加密方式，請參見Ingress支援哪些SSL/TLS版本？進行配置。

nginx.ingress.kubernetes.io/rewrite-target用法不相容

影響版本：0.22.0以下（不包括0.22.0）。

• 0.22.0版本對nginx.ingress.kubernetes.io/rewrite-target註解的用法做了修改。在0.22.0及以上版本，使用rewrite-target時，需要顯式指定擷取的群組的使用。

• 0.22.0版本以下的rewrite-target特性和最新版本的rewrite-target特性不相容，在組件升級前，可以使用configuration-snippet代替rewrite-target註解。

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
  name: rewrite
  namespace: default
spec:
  rules:
  - host: rewrite.bar.com
    http:
      paths:
      - path: /something/
        pathType: Prefix
        backend:
          service:
            name: http-svc
            port:
              number: 80
      - path: /something123/
        pathType: Prefix
        backend:
          service:
            name: http-svc-1
            port:
              number: 80

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    # 使用rewrite指令，/something為path中路徑（不包含尾部的斜杠）。
    # Ingress中包含多個路徑，需要添加多條rewrite指令。
    nginx.ingress.kubernetes.io/configuration-snippet: |
      rewrite "(?i)/something(/|$)(.*)" /$2 break;
      rewrite "(?i)/something123(/|$)(.*)" /$2 break;
  name: rewrite
  namespace: default
spec:
  rules:
  - host: rewrite.bar.com
    http:
      paths:
      - path: /something/ # 和舊版本Ingress資源的路徑保持一致。
        pathType: Prefix
        backend:
          service:
            name: http-svc
            port:
              number: 80
      - path: /something123/ # 和舊版本Ingress資源的路徑保持一致。
        pathType: Prefix
        backend:
          service:
            name: http-svc-1
            port:
              number: 80

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    # 引用匹配的內容。
    nginx.ingress.kubernetes.io/rewrite-target: /$2
  name: rewrite
  namespace: default
spec:
  rules:
  - host: rewrite.bar.com
    http:
      paths:
      # 使用擷取的群組。
      - path: /something(/|$)(.*)
        pathType: Prefix
        backend:
          service:
            name: http-svc
            port:
              number: 80
      # 使用擷取的群組。
      - path: /something123(/|$)(.*)
        pathType: Prefix
        backend:
          service:
            name: http-svc-1
            port:
              number: 80

驗證階段說明

驗證組件及業務狀態

除自身所擁有的業務監控能力外，ACK也提供了SLS日誌、阿里雲Prometheus大盤和容器自身的日誌來觀測Nginx Ingress Controller的運行狀態。開啟上述服務，請參見Nginx Ingress訪問日誌分析與監控和使用阿里雲Prometheus監控。

升級注意事項

在低版本的Nginx Ingress Controller升級到高版本時，由於高版本在首碼匹配邏輯上有所變化，需要關注路徑path配置與實際請求URL的是否一致，否則可能會導致原本正常的請求出現404錯誤。

已知問題

在Nginx Ingress Controller的不同版本中，首碼匹配邏輯可能存在差異，這可能導致服務訪問問題。

• 在低版本（v0.44之前）的Nginx Ingress Controller中，首碼匹配的規則較為寬鬆，允許如/aaa/bbb的配置，可以匹配請求的URL/aaa/bbbbb。

• 升級到高版本後，首碼匹配的邏輯可能會變得更加嚴格，只匹配精確的請求路徑，這可能導致原本應匹配的路徑/aaa/bbbbb不再匹配，從而引發404錯誤。

影響範圍

受影響的版本為Nginx Ingress版本低於v0.44。關於Nginx Ingress Controller版本記錄，請參見Nginx Ingress Controller。相關PR資訊請參見kubernetes/ingress-nginx #6443。

樣本配置

您可以根據以下的YAML配置比較低版本（如v0.22.0.5-552e0db-aliyun）和高版本（如v1.2.1-aliyun.1+）渲染出Nginx配置之間的差異。

  apiVersion: extensions/v1beta1
  kind: Ingress
  metadata:
    labels:
      ingress-controller: nginx
    name: test
    namespace: default
  spec:
    ingressClassName: nginx
    rules:
    - host: www.example.com
      http:
        paths:
        - backend:
            service:
              name: api-resources-svc
              port:
                number: 8080
          path: /api/resource

• 低版本行為

  在低版本Nginx Ingress（如v0.22.0.5-552e0db-aliyun）中，對應的Nginx配置：

  Location /api/resource   ## 沒有結尾的 "/"

  在上面的配置中，使用的路徑/api/resource在低版本Nginx中允許通過http://www.example.com/api/resources進行訪問。

  說明

  實際訪問路徑是resources而不是resource。

• 高版本行為

  若將Nginx Ingress Controller升級到高版本（如v1.2.1-aliyun.1+），對應的Nginx配置：

  Location /api/resource/  # 增加了結尾的 "/"
  {
  }
  ...
  Location = /api/resource  # 增加了一個 Location 進行精確匹配
  {
  }

  訪問http://www.example.com/api/resources將返回404錯誤。

常見問題

Nginx Ingress Controller是否支援升級至指定的版本？升級成功後，還能回退到之前的某個版本嗎？

Nginx Ingress Controller組件不支援升級到指定版本，採用分階段的形式進行升級，直至將組件升級到最新的版本。升級成功後無法回退。

驗證和發布階段Pod擴容失敗怎麼辦？

Deployment模板檢查不通過怎麼辦？

如果在前置檢查過程中，您的Deployment模板檢查不通過，請單擊異常原因右側的連結，進入組件差異展示頁面，查看檢查不通過的欄位。

1. 在Nginx Ingress Controller 組件升級頁面的前置檢查下方，單擊查看詳情。

2. 在檢查報告頁面的叢集組件檢查結果地區，單擊①處的紅色方框查看檢查結果，然後在檢查結果頁面單擊Deployment 模板，最後單擊②處異常原因右側的連結。

   

3. 進入組件差異展示頁面，查看檢查不通過的欄位。

   在組件差異頁面，會展示出該版本組件的標準模板（左側）和當前叢集中的組件模板（右側）的對比展示。組件差異頁面會標出兩者之間的全部差異，包括相容和不相容的欄位，並在差異展示的下方標出叢集中組件是否通過差異檢查，以及不相容的差異欄位的具體路徑。

   如下圖所示，下方提示存在一處差異，差異欄位為.spec.template.spec.containers.(nginx-ingress-controller).args（括弧中的內容為數組中元素的name欄位）。通過組件差異對比，發現args中--v=2被修改為了--v=3，需要在升級前進行修正。

   

4. 修改差異欄位。

   選擇工作負載>無狀態，找到Nginx Ingress Controller組件，單擊更多>查看YAML，在編輯YAML頁面中將args欄位中的--v=3修改為--v=2。

5. 將差異欄位修改後，您也可以重新進入或重新整理組件差異展示頁面，查看最新的對比結果。當頁面底部提示組件可通過差異檢測時，即可通過Deployment模板檢查點。

   說明

   修改叢集內Deployment過程中，Nginx Ingress Controller Pod會重啟，建議您在業務低峰期進行相關操作。