使用应用程序路由加载项将 NGINX 入口控制器配置为支持 Azure 专用 DNS 区域

本文介绍如何配置 NGINX 入口控制器以使用 Azure 内部负载均衡器。 它还介绍如何配置专用 Azure DNS 区域，以便为专用终结点启用 DNS 解析以解析特定域。

开始之前

• 具有应用程序路由附加产品的 AKS 群集。

• 若要附加 Azure 专用 DNS 区域，需要在 Azure 订阅上拥有 所有者、 Azure 帐户管理员或 Azure 共同管理员 角色。

连接到 AKS 群集

若要从本地计算机连接到 Kubernetes 群集，请使用 Kubernetes 命令行客户端 kubectl。 可以使用 az aks install-cli 命令在本地安装它。 如果使用的是 Azure Cloud Shell，则 kubectl 已安装。

以下示例使用命令配置连接到test-rg中名为az aks get-credentials的群集。

az aks get-credentials \
    --resource-group test-rg \
    --name aks-cluster

创建虚拟网络

若要将专用 DNS 区域发布到虚拟网络，请指定允许使用 虚拟网络链接解析区域中的记录的虚拟网络列表。

以下示例在 test-rg 资源组中创建名为 vnet-1 的虚拟网络，并在具有特定地址前缀的虚拟网络中创建名为 subnet-1 的子网。

az network vnet create \
  --name vnet-1 \
  --resource-group test-rg \
  --location eastus \
  --address-prefix 10.2.0.0/16 \
  --subnet-name subnet-1 \
  --subnet-prefixes 10.2.0.0/24

创建 Azure 专用 DNS 区域

使用 az network private-dns zone create 命令创建 DNS 区域，并指定要在其中创建区域的名称和资源组。 以下示例在 test-rg 资源组中创建名为 private.contoso.com 的 DNS 区域。

az network private-dns zone create \
    --resource-group test-rg \
    --name private.contoso.com

你将使用 az network private-dns link vnet create 命令创建之前创建的 DNS 区域的虚拟机链接。 以下示例为虚拟网络 vnet-1 创建名为 dns-link 的链接，以链接到区域 private.contoso.com。 包括--registration-enabled参数以指定该链接未启用注册功能。

az network private-dns link vnet create \
    --resource-group test-rg \
    --name dns-link \
    --zone-name private.contoso.com \
    --virtual-network vnet-1 \
    --registration-enabled false

Azure DNS 专用区域自动注册功能管理部署在虚拟网络中的虚拟机的 DNS 记录。 在启用此设置的情况下将虚拟网络与专用 DNS 区域链接在一起时，系统会为虚拟网络中部署的 AKS 节点的每个虚拟机创建 DNS 记录。

将 Azure 专用 DNS 区域附加到应用程序路由加载项

1. 使用 az network dns zone show 命令检索 DNS 区域的资源 ID，并将输出设置为名为 ZONEID 的变量。 以下示例查询资源组 test-rg 中的区域 private.contoso.com。

   ZONEID=$(az network private-dns zone show \
   --resource-group test-rg \
   --name private.contoso.com \
   --query "id" \
   --output tsv)
   

2. 使用 az aks approuting zone 命令更新加载项以启用与 Azure DNS 的集成。 可以传递以逗号分隔的 DNS 区域资源 ID 列表。 以下示例更新资源组 test-rg 中的 AKS 群集 aks-cluster。

   az aks approuting zone add \
   --resource-group test-rg \
   --name aks-cluster \
   --ids=${ZONEID} \
   --attach-zones
   

创建具有专用 IP 地址和内部负载均衡器的 NGINX 入口控制器

应用程序路由附加产品使用称作 NginxIngressController 的 Kubernetes 自定义资源定义 (CRD) 来配置 NGINX 入口控制器。 你可以创建更多入口控制器或修改现有配置。

NginxIngressController CRD 具有一个 loadBalancerAnnotations 字段，用于通过设置负载均衡器注释来控制 NGINX 入口控制器服务的行为。 有关负载均衡器注释的详细信息，请参阅 通过 Kubernetes 注释进行自定义。

执行以下步骤来创建具有面向内部的 Azure 负载均衡器（使用专用 IP 地址）的 NGINX 入口控制器。

1. 将以下 YAML 清单复制到名为 nginx-internal-controller.yaml 的新文件中，并将该文件保存到本地计算机。

   apiVersion: approuting.kubernetes.azure.com/v1alpha1
   kind: NginxIngressController
   metadata:
     name: nginx-internal
   spec:
     ingressClassName: nginx-internal
     controllerNamePrefix: nginx-internal
     loadBalancerAnnotations: 
       service.beta.kubernetes.io/azure-load-balancer-internal: "true"
   

2. 使用 kubectl apply 命令创建 NGINX 入口控制器资源。

   kubectl apply -f nginx-internal-controller.yaml
   

   以下示例输出显示了创建的资源：

   nginxingresscontroller.approuting.kubernetes.azure.com/nginx-internal created
   

3. 验证是否已创建入口控制器

   可以使用 kubectl get nginxingresscontroller 命令验证 NGINX 入口控制器的状态。

   kubectl get nginxingresscontroller
   

   以下示例输出显示了创建的资源。 控制器可能需要几分钟时间才能可用：

   NAME             INGRESSCLASS                         CONTROLLERNAMEPREFIX   AVAILABLE
   default          webapprouting.kubernetes.azure.com   nginx                  True
   nginx-internal   nginx-internal                       nginx-internal         True
   

部署应用程序

应用程序路由附加产品使用 Kubernetes Ingress 对象的注释来创建适当的资源。

1. 创建名为 aks-store 的应用程序命名空间，以使用 kubectl create namespace 命令运行示例 Pod。

   kubectl create namespace aks-store
   

2. 使用以下 YAML 清单文件部署 AKS 存储应用程序：

   kubectl apply -f https://raw.githubusercontent.com/Azure-Samples/aks-store-demo/main/sample-manifests/docs/app-routing/aks-store-deployments-and-services.yaml -n aks-store
   

此清单为 AKS 存储应用程序创建必要的部署和服务。

创建使用 Azure 专用 DNS 区域中的主机名和专用 IP 地址的入口资源

使用 DNS 主机的名称进行更新 host ，例如 ，store-front.private.contoso.com。 请确保你为 ingressClassName 指定了 nginx-internal。

1. 将以下 YAML 清单复制到名为 ingress.yaml 的新文件中，并将该文件保存到本地计算机。

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: store-front
     namespace: aks-store
   spec:
     ingressClassName: nginx-internal
     rules:
     - host: store-front.private.contoso.com
       http:
         paths:
         - backend:
             service:
               name: store-front
               port:
                 number: 80
           path: /
           pathType: Prefix
   

2. 使用 kubectl apply 命令创建入口资源。

   kubectl apply -f ingress.yaml -n aks-store
   

   以下示例输出显示了创建的资源：

   ingress.networking.k8s.io/store-front created
   

验证是否已创建托管 Ingress

可以使用 kubectl get ingress 命令验证是否已创建托管 Ingress。

kubectl get ingress -n aks-store

以下示例输出显示了创建的托管 Ingress：

NAME          CLASS            HOSTS                             ADDRESS   PORTS   AGE
store-front   nginx-internal   store-front.private.contoso.com             80      10s

验证 Azure 专用 DNS 区域是否已更新

几分钟后，运行 az network private-dns record-set a list 命令来查看 Azure 专用 DNS 区域的 A 记录。 指定资源组的名称和 DNS 区域的名称。 在此示例中，资源组为 test-rg，DNS 区域 private.contoso.com。

az network private-dns record-set a list \
    --resource-group test-rg \
    --zone-name private.contoso.com

以下示例输出显示了所创建的记录：

[
  {
    "aRecords": [
      {
        "ipv4Address": "10.224.0.7"
      }
    ],
    "etag": "ecc303c5-4577-4ca2-b545-d34e160d1c2d",
    "fqdn": "store-front.private.contoso.com.",
    "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/test-rg/providers/Microsoft.Network/privateDnsZones/private.contoso.com/A/store-front",
    "isAutoRegistered": false,
    "name": "store-front",
    "resourceGroup": "test-rg",
    "ttl": 300,
    "type": "Microsoft.Network/privateDnsZones/A"
  }
]

Next steps

有关与 SSL 加密、高级 NGINX 入口控制器和入口资源配置相关的其他配置信息，请查看 DNS 和 SSL 配置以及应用程序路由加载项配置。