ingress controller是独立与controller-manager的
Ingress的主要作用是可以利用nginx，haproxy，envoy,traefik等负载均衡器来暴露集群内部服务。
利用Ingress可以解决内部资源访问外部资源的方式，和四层调度替换为七层调度的问题。
解决因为四层iptables/ipvs规则实现调度或加密tsl的方式过于复杂且效率低下的问题，因为四层调度的iptables/ipvs模块无法卸载，所以使用七层负载均衡来替代。
用户访问过程：
用户访问->nodeIP:Nodeport->podIP:containerPort
ingress原理：
用户访问-->LB-->ingress-nginx-service-->ingressController-ingress-nginx-pod-->ingress字段中调用的后端pod
后端pod的service只提供pod归类，归类后ingress会将此service中的后端pod信息提取出来，然后动态注入到ingress-nginx-pod中的ingress字段中
随后，后端pod就被调用到了
例：myapp
1.下载资源。github上搜索ingress-nginx，找到deploy项目，下载里面的mandatory.yaml，或在https://kubernetes.github.io/ingress-nginx/deploy/查看教程下载mandatory.yaml和service-nodeport.yaml
下载yaml后，kubectl apply -f mandatory.yaml。会创建1个pod:nginx-ingress-controller，1个svc:ingress-nginx,1个namespace
kubectl apply -f service-nodeport.yaml会创建一个service
这两条命令创建出ingress框架：ns/svc/deploy/ingress/,以后创建后端和后端匹配的ingress资源就可以使用生成的svc来访问了
2.创建myapp后端资源：
1 apiVersion: v1 2 kind: Service 3 metadata: 4 name: myapp 5 namespace: default
6 spec: 7 selector: 8 app: myapp 9 release: canary 10 ports: 11 - name: http 12 targetPort: 80
13 port: 80
14 ---
15 apiVersion: apps/v1 16 kind: Deployment 17 metadata: 18 name: myapp-deploy 19 namespace: default
20 spec: 21 replicas: 3
22 selector: 23 matchLabels: 24 app: myapp 25 release: canary 26 template: 27 metadata: 28 labels: 29 app: myapp 30 release: canary 31 spec: 32 containers: 33 - name: myapp 34 image: ikubernetes/myapp:v2 35 ports: 36 - name: http 37 containerPort: 80
3.创建ingress
1 apiVersion: extensions/v1beta1 2 kind: Ingress 3 metadata: 4 name: ingress-myapp 5 namespace: default
6 annotations: 7 kubernetes.io/ingess.class: "nginx"
8 spec: 9 rules: 10 - host: smbands.com 11 http: 12 paths: 13 - path: 14 backend: 15 serviceName: myapp ##注此处必须要和后端pod的service的名称一致，否则会报503错误 16 servicePort: 80 ##注此处必须要和后端pod的service的端口一致，否则会报503错误
#然后kubectl apply -f myapp-demo.yaml、kubectl apply -f ingress-demo.yaml。
4.访问。
确保hosts文件可以正确解析即可访问，使用域名+ingress-nginx的service暴露的端口
自签证书https tls
例：
1.生成所需文件
生成私钥文件：openssl genrsa -out tls.key 2048
生成证书文件：openssl req -new -x509 -key tls.key -out tls.crt -subj /C=CN/ST=Beijing/L=Beijing/O=DepOps/CN=tomcat.smbands.com
会有tls.crt tls.key两个文件
2.创建后端pod资源
1 apiVersion: v1 2 kind: Service 3 metadata: 4 name: tomcat ##下面的Ingess的资源清单里面的serviceName必须与此名称一致，否则报503错误。 5 namespace: default
6 spec: 7 selector: 8 app: tomcat 9 release: canary 10 ports: 11 - name: http 12 targetPort: 8080
13 port: 8080
14 - name: ajp 15 targetPort: 8009
16 port: 8009
17 ---
18 apiVersion: apps/v1 19 kind: Deployment 20 metadata: 21 name: tomcat-deploy 22 namespace: default
23 spec: 24 replicas: 3
25 selector: 26 matchLabels: 27 app: tomcat 28 release: canary 29 template: 30 metadata: 31 labels: 32 app: tomcat 33 release: canary 34 spec: 35 containers: 36 - name: tomcat 37 image: tomcat 38 ports: 39 - name: http 40 containerPort: 8080
41 - name: ajp 42 containerPort: 8009
3.创建secert资源，使其将证书密钥注入到tomcat配置文件中：
1 kubectl create secret tls tomcat-ingress-secret --cert=tls.crt --key=tls.key
4.创建ingress资源：
1 apiVersion: extensions/v1beta1 2 kind: Ingress 3 metadata: 4 name: ingress-tomcat-tls 5 namespace: default
6 annotations: 7 kubernetes.io/ingess.class: "nginx"
8 spec: 9 tls: 10 - hosts: 11 - tomcat-smbands.com 12 secretName: tomcat-ingress-secret 13 rules: 14 - host: tomcat.smbands.com 15 http: 16 paths: 17 - path: 18 backend: 19 serviceName: tomcat ##注：这里的serviceName必须与pod的service名称一致，否则会报503错误。 20 servicePort: 8080 ##注此处必须要和后端pod的service的端口一致，否则会报503错误
5.应用
kubectl apply -f tomcat-ingress-tls.yaml
6.访问。
确保hosts文件可以正确解析即可访问，使用域名https://tomcat.smbands.com:ingress的service向外暴露的端口。