Kubernetes Ingress控制器

ingress nginx

ingress nginx 使用NGINX作为反向代理和负载均衡器的Kubernetes入口控制器

要使用，请添加 ingressClassName: nginx 规范字段或 kubernetes.io/ingress.class: nginx Ingress资源的注释。

此图表引导ingress nginx部署到 Kubernetes 集群使用 舵 包管理器。

需求

库贝内特斯： >=1.21.0-0

获取回购信息

helm repo add ingress-nginx https://kubernetes.github.io/ingress-nginx
helm repo update

安装图表

重要提示： 仅支持helm3

helm install [RELEASE_NAME] ingress-nginx/ingress-nginx

该命令以默认配置在Kubernetes集群上部署ingress nginx。

看 配置 在......下面

看 舵安装 用于命令文档。

卸载图表

helm uninstall [RELEASE_NAME]

这将删除与图表关联的所有Kubernetes组件并删除版本。

看 helm卸载 用于命令文档。

升级图表

helm upgrade [RELEASE_NAME] [CHART] --install

看 helm 升级 用于命令文档。

从稳定/nginx入口迁移

从迁移版本有两种主要方法 stable/nginx-ingress 到 ingress-nginx/ingress-nginx 图表：

1. 对于用于非关键服务的Nginx Ingress控制器，最简单的方法是 卸载 旧的释放和 安装 新的那个
2. 对于生产中需要零停机时间的关键服务，您需要：
   1. 安装 第二个Ingress控制器
   2. 将DNS流量从旧控制器重定向到新控制器
   3. 在此转换期间记录来自两个控制器的流量
   4. 卸载 旧控制器一旦流量完全耗尽

请注意，这两个图表之间有一些不同的升级配置，由JFrog的Rimas Mocevicius在《升级到ingress nginx Helm chart》一节中描述 从Helm chart nginx ingress迁移到ingress nginx.作为 ingress-nginx/ingress-nginx 图表继续更新，您需要运行以下命令检查当前差异 舵配置 两个图表上的命令。

配置

看 安装前自定义图表。要查看所有带有详细注释的可配置选项，请访问图表 values.yaml，或运行以下配置命令：

helm show values ingress-nginx/ingress-nginx

Pod 中断预算

请注意，只有当replicaCount大于1时，才会定义PodDisruptionBudget资源， 否则，将无法疏散节点。看 gh问题#7127 了解更多信息。

普罗米修斯指标

Ingress Nginx控制器可以通过设置导出Prometheus指标 controller.metrics.enabled 到 true.

您可以使用以下命令将Prometheus注释添加到度量服务中 controller.metrics.service.annotations. 或者，如果您使用Prometheus运算符，则可以使用以下命令启用ServiceMonitor创建 controller.metrics.serviceMonitor.enabled.并设置 controller.metrics.serviceMonitor.additionalLabels.release="prometheus"。“release=prometheus”应与prometheus-servicemonitor中配置的标签匹配（请参阅 kubectl get servicemonitor prometheus-kube-prom-prometheus -oyaml -n prometheus)

ingress nginx nginx_status页面/统计服务器

此图表的以前版本有 controller.stats.* 配置块，由于Ingress Nginx控制器中的以下更改，该块现已过时：

• 在 0.16.1，删除了vts（虚拟主机流量状态）仪表板
• 在 0.23.0，端口18080处的状态页现在是一个仅在本地主机上可用的unix套接字web服务器。 您可以使用 curl --unix-socket /tmp/nginx-status-server.sock http://localhost/nginx_status 在控制器容器内本地访问它，或使用以下代码段 nginx入口更改日志 重新启用http服务器

外部DNS服务配置

添加一个 外部DNS LoadBalancer服务的注释：

controller:
  service:
    annotations:
      external-dns.alpha.kubernetes.io/hostname: kubernetes-example.com.

AWS L7 ELB，带SSL端接

如图所示，对控制器进行注释 nginx入口l7补丁:

controller:
  service:
    targetPorts:
      http: http
      https: http
    annotations:
      service.beta.kubernetes.io/aws-load-balancer-ssl-cert: arn:aws:acm:XX-XXXX-X:XXXXXXXXX:certificate/XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXX
      service.beta.kubernetes.io/aws-load-balancer-backend-protocol: "http"
      service.beta.kubernetes.io/aws-load-balancer-ssl-ports: "https"
      service.beta.kubernetes.io/aws-load-balancer-connection-idle-timeout: '3600'

附加内部负载平衡器

当您需要外部和内部负载平衡器，但不希望每个应用程序有多个入口控制器和多个入口对象时，此设置非常有用。

默认情况下，ingress对象将指向外部负载均衡器地址，但如果配置正确，如果您正在查找的URL解析为内部负载均衡器的URL，则可以使用内部地址。

您需要设置以下两个值：

controller.service.internal.enabled controller.service.internal.annotations

如果其中一个丢失，则不会部署内部负载平衡器。你可能有这样的例子 controller.service.internal.enabled=true 但是没有设置注释，在这种情况下不会采取任何行动。

controller.service.internal.annotations 根据您使用的云服务而有所不同。

AWS示例：

controller:
  service:
    internal:
      enabled: true
      annotations:
        # Create internal NLB
        service.beta.kubernetes.io/aws-load-balancer-scheme: "internal"
        # Create internal ELB(Deprecated)
        # service.beta.kubernetes.io/aws-load-balancer-internal: "true"
        # Any other annotation can be declared here.

GCE示例：

controller:
  service:
    internal:
      enabled: true
      annotations:
        # Create internal LB. More information: https://cloud.google.com/kubernetes-engine/docs/how-to/internal-load-balancing
        # For GKE versions 1.17 and later
        networking.gke.io/load-balancer-type: "Internal"
        # For earlier versions
        # cloud.google.com/load-balancer-type: "Internal"

        # Any other annotation can be declared here.

Azure示例：

controller:
  service:
      annotations:
        # Create internal LB
        service.beta.kubernetes.io/azure-load-balancer-internal: "true"
        # Any other annotation can be declared here.

Oracle云基础架构示例：

controller:
  service:
      annotations:
        # Create internal LB
        service.beta.kubernetes.io/oci-load-balancer-internal: "true"
        # Any other annotation can be declared here.

可以找到更多云服务提供商的负载均衡器注释： 内部负载平衡器.

此场景的一个用例是进行拆分视图DNS设置，其中公共区域CNAME记录指向外部平衡器URL，而私有区域CNAME记录则指向内部平衡器URL。这样，您只需要一个ingress kubernetes对象。

您可以选择设置 controller.service.loadBalancerIP 如果你需要一个静态IP作为结果 LoadBalancer.

入场网

对于nginx ingress控制器版本0.25+，ingress nginx控制器pod公开了一个端点，该端点将与 validatingwebhookconfiguration Kubernetes功能可防止将不良入口添加到集群中。 此功能自0.31.0起默认启用。

nginx ingress控制器在0.25.*仅适用于kubernetes 1.14+，0.26修复 这个问题

图表如何配置挂钩

验证和配置要求向其发送请求的端点使用TLS。可以设置自定义证书来实现这一点，但在大多数情况下，自签名证书就足够了。使用helm时，此组件的设置需要一些更复杂的编排。这些步骤被创建为幂等的，并且允许打开和关闭该功能，而不会遇到掌舵怪癖。

1. 预安装挂钩使用与使用最终用户证书进行配置兼容的格式将证书配置到同一命名空间中。如果证书已经存在，则钩子退出。
2. Ingress Nginx控制器pod被配置为使用TLS代理容器，该容器将加载该证书。
3. 验证和修改webhook配置是在集群中创建的。
4. 安装后挂钩从步骤1创建的密钥中读取CA，并修补验证和修改webhook配置。此过程将允许由其他过程提供的自定义CA也被修补到webhook配置中。所选的故障策略也已修补到webhook配置中

替代方案

应该可以使用 证书管理员 如果需要更完整的解决方案。

您可以通过设置证书管理器启用自动自签名TLS证书配置 controller.admissionWebhooks.certManager.enabled 值为true。

请确保证书管理器已正确安装和配置。

升级时发生Helm错误：spec.clusterIP:无效值：“”

如果您从0.31.0到1.2.2之间的版本升级此图表，则可能会出现以下错误：

Error: UPGRADE FAILED: Service "?????-controller" is invalid: spec.clusterIP: Invalid value: "": field is immutable

如何以及为什么在 这个问题 但要解决这个问题，您可以设置 xxxx.service.omitClusterIP 到 true 哪里 xxxx 是错误中引用的服务。

截至版本 1.26.0 通过简单地不提供任何clusterIP值， invalid: spec.clusterIP: Invalid value: "": field is immutable 将不再发生，因为 clusterIP: "" 将不会被渲染。

Pod安全准入

您可以通过在Pod上贴标签来使用Pod Security Admission ingress-nginx 命名空间按照指示 文档.

例子：

apiVersion: v1
kind: Namespace
metadata:
  name: ingress-nginx
  labels:
    kubernetes.io/metadata.name: ingress-nginx
    name: ingress-nginx
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: v1.31

价值观

用例 存储库管理：浏览和查询代码、搜索文件、分析提交，并了解您有权访问的任何存储库中的项目结构。 问题和公关自动化：创建、更新和管理问题和拉取请求。让人工智能帮助分类错误、审查代码更改和维护项目板。 CI/CD和工作流智能：监控GitHub Actions工作流运行，分析构建失败，管理发布，并深入了解您的开发流程。 代码分析：检查安全发现，查看Dependabot警报，了解代码模式，并全面了解您的代码库。 团队协作：访问讨论、管理通知、分析团队活动并简化团队流程。 专为希望将人工智能工具连接到GitHub上下文和功能的开发人员而设计，从简单的自然语言查询到复杂的多步骤代理工作流。

远程GitHub MCP服务器 在VS代码中安装在VS代码内部人员中安装

远程GitHub MCP服务器由GitHub托管，提供了最简单的启动和运行方法。如果您的MCP主机不支持远程MCP服务器，请不要担心！您可以使用GitHub MCP Server的本地版本。

先决条件 支持远程服务器的兼容MCP主机（VS Code 1.101+、Claude Desktop、Cursor、Windsurf等） 启用任何适用的策略 在VS代码中安装 为了快速安装，请使用上面的一键安装按钮之一。完成该流程后，切换代理模式（位于副驾驶聊天文本输入处），服务器将启动。确保您使用VS Code 1.101或更高版本进行远程MCP和OAuth支持。

或者，要手动配置VS Code，请从以下示例中选择适当的JSON块并将其添加到您的主机配置中：

使用OAuth