Generator Kubernetes Ingress

Generator manifestu Kubernetes Ingress

Ingress udostępnia usługi klastra na zewnątrz — kieruje ruch z domeny do odpowiedniego serwisu. Wymaga kontrolera (np. nginx-ingress).

Struktura manifestu

TLS z cert-manager

Adnotacja cert-manager.io/cluster-issuer sprawia, że cert-manager automatycznie wystawi i odnowi certyfikat Let's Encrypt. Sekret (nazwa-tls) tworzy się sam.

Wdrożenie

Zapisz plik jako ingress.yaml i zastosuj: kubectl apply -f ingress.yaml. Sprawdź stan: kubectl describe ingress nazwa.

Jak generator zamienia pola formularza na manifest YAML

Generator działa w przeglądarce i nie wysyła danych na serwer — YAML powstaje lokalnie na podstawie tego, co wpiszesz w formularzu. Każde pole odpowiada konkretnemu kluczowi w obiekcie Ingress z API networking.k8s.io/v1. Nazwa trafia do metadata.name, wybrany kontroler do spec.ingressClassName, host i ścieżki do spec.rules, a ustawienia HTTPS do spec.tls.

Ścieżki są budowane jako lista obiektów z polami path, pathType i backend. Backend wskazuje nazwę serwisu oraz numer portu. Gdy dodasz kilka ścieżek, generator zachowuje ich kolejność — kontroler dopasowuje pierwszą pasującą regułę, więc wpis /api powinien znaleźć się przed ogólnym /. PathType Prefix obejmuje podścieżki, a Exact tylko dokładnie podany adres.

Sekcja TLS powstaje, gdy włączysz HTTPS: podajesz listę hostów i jedną nazwę sekretu. Adnotacja cert-manager.io/cluster-issuer powoduje, że cert-manager wystawi certyfikat i zapisze go w tym sekrecie. Sam generator nie tworzy jednak ani sekretu, ani wystawcy — wstawia wyłącznie odwołania. Wynik jest deterministyczny: te same dane wejściowe dają identyczny manifest.

Przykład: publikacja shop.example.com krok po kroku

1. W polu nazwy Ingress wpisujesz shop-ingress, a jako ingressClassName wybierasz nginx.
2. Dodajesz regułę: host shop.example.com, ścieżka /, pathType Prefix.
3. Ustawiasz backend: serwis shop-svc, port 8080.
4. Włączasz TLS: host shop.example.com, sekret shop-example-tls, adnotacja cert-manager z cluster-issuer letsencrypt-prod.
5. Klikasz generuj — w podglądzie pojawia się manifest z apiVersion networking.k8s.io/v1, kind Ingress, nazwą shop-ingress, ingressClassName nginx, regułą dla shop.example.com kierującą / do shop-svc:8080 oraz sekcją tls z secretName shop-example-tls.
6. Kopiujesz YAML do pliku shop-ingress.yaml i wykonujesz kubectl apply -f shop-ingress.yaml. Kontroler nginx zacznie kierować ruch z shop.example.com na shop-svc, a cert-manager wystawi certyfikat i zapisze go w sekrecie shop-example-tls.

Mapowanie pól formularza na klucze manifestu

Jak używać generatora bez błędów

• Ustaw ścieżki od najbardziej szczegółowej. Kontroler sprawdza reguły po kolei. Jeśli najpierw dasz Prefix /, to /api nigdy nie trafi do osobnego backendu — w formularzu dodawaj najpierw /api, a potem /.
• Trzymaj jedną nazwę sekretu TLS dla wszystkich hostów. Sekcja tls ma listę hosts, ale tylko jedno secretName. Przy wielu domenach z różnymi certyfikatami lepiej rozdzielić je na osobne manifesty.
• Nie mieszaj starej i nowej składni. Jeśli używasz ingressClassName, nie dodawaj równolegle adnotacji kubernetes.io/ingress.class — w nowszych wersjach Kubernetes może to powodować konflikt.
• Sprawdź manifest przed wdrożeniem. Po skopiowaniu YAML uruchom kubectl apply --dry-run=server -f plik.yaml, żeby wychwycić literówki w nazwach serwisów i portach.
• Pamiętaj o DNS. Manifest nie tworzy rekordu A. Host musi wskazywać na adres IP lub nazwę LoadBalancera kontrolera ingress, inaczej ruch nie dotrze do klastra.

Czego generator nie zrobi

• Nie łączy się z klastrem. Nie sprawdzi, czy kontroler ingress działa, czy serwis docelowy istnieje ani czy port jest otwarty. To wyłącznie tekst manifestu.
• Nie tworzy zasobów towarzyszących. Nie wygeneruje Deploymentu, Service, ClusterIssuer ani sekretu TLS — muszą istnieć wcześniej albo powstać osobno.
• Nie obsługuje zaawansowanych funkcji kontrolerów. Adnotacje specyficzne dla nginx, takie jak przepisywanie ścieżek, limity, CORS czy kanary, trzeba dopisać ręcznie. Generator tworzy podstawową strukturę.
• Nie waliduje DNS ani certyfikatów. Nie sprawdzi, czy domena jest poprawnie skierowana, czy certyfikat się wystawił, ani czy adnotacja cert-manager pasuje do istniejącego ClusterIssuer.

Najczęstsze pytania