Apigee Ingress ゲートウェイの管理

Apigee ハイブリッドバージョン 1.8 以降、Apigee ハイブリッドでは Apigee Ingress ゲートウェイを使用して、ハイブリッド用の Ingress ゲートウェイを提供します。

Apigee Ingress ゲートウェイの構成

Ingress ゲートウェイは overrides.yaml で構成できます。次に例を示します。

構文

ingressGateways:
- name: INGRESS_NAME
  replicaCountMin: REPLICAS_MIN
  replicaCountMax: REPLICAS_MAX
  resources:
    requests:
      cpu: CPU_COUNT_REQ
      memory: MEMORY_REQ
    limits:
      cpu: CPU_COUNT_LIMIT
      memory: MEMORY_LIMIT
  svcAnnotations:  # optional.
    SVC_ANNOTATIONS_KEY: SVC_ANNOTATIONS_VALUE
  svcLoadBalancerIP: SVC_LOAD_BALANCER_IP # optional

例

ingressGateways:
- name: prod1
  replicaCountMin: 2
  replicaCountMax: 100
  resources:
    requests:
      cpu: 1
      memory: 1Gi
    limits:
      cpu: 2
      memory: 2Gi
  svcAnnotations:  # optional. See Known issue 243599452.
    networking.gke.io/load-balancer-type: "Internal"
  svcLoadBalancerIP: 198.252.0.123

INGRESS_NAME は、Ingress ゲートウェイデプロイの名前です。次の要件を満たす任意の名前を使用できます。
- 17 文字以下にする
- 小文字の英数字またはハイフン（-）のみを使用する
- 先頭が英数字である
- 末尾が英数字である
構成プロパティリファレンスの ingressGateways[].name をご覧ください。
REPLICAS_MIN と REPLICAS_MAX は、インストールにおける Apigee Ingress ゲートウェイの最小レプリカ数と最大レプリカ数です。構成プロパティリファレンスの ingressGateways[].replicaCountMin と ingressGateways[].replicaCountMax をご覧ください。
CPU_COUNT_REQ と MEMORY_REQ は、インストール環境における Apigee Ingress ゲートウェイの各レプリカに対する CPU とメモリのリクエストです。
すでに overlay.yaml ファイルなどで、Apigee ハイブリッドバージョン 1.8 以前で Anthos Service Mesh Ingress ゲートウェイに設定している場合は、これらのプロパティを設定します。
構成プロパティリファレンスの ingressGateways[].resources.requests.cpu と ingressGateways[].resources.requests.memory をご覧ください。
CPU_COUNT_LIMIT と MEMORY_LIMIT インストール環境での Apigee Ingress ゲートウェイの各レプリカに対する最大 CPU とメモリの制限。
すでに overlay.yaml ファイルなどで、Apigee ハイブリッドバージョン 1.8 以前で Anthos Service Mesh Ingress ゲートウェイに設定している場合は、これらのプロパティを設定します。
構成プロパティリファレンスの ingressGateways[].resources.limits.cpu と ingressGateways[].resources.limits.memory をご覧ください。
SVC_ANNOTATIONS_KEY SVC_ANNOTATIONS_VALUE（省略可）:
注: overrides.yaml の ingressGateways[].svcAnnotations フィールドは期待どおりに機能しません。既知の問題 243599452 をご覧ください。
これは、デフォルトの Ingress サービスのアノテーションを提供する Key-Value ペアです。アノテーションは、ハイブリッドインストールの構成をサポートするために、クラウドプラットフォームによって使用されます。たとえば、ロードバランサのタイプを内部または外部に設定する場合などです。次に例を示します。
```
ingressGateways:
  svcAnnotations:
    networking.gke.io/load-balancer-type: "Internal"
```
アノテーションは、プラットフォームによって異なります。必須アノテーションと推奨アノテーションについては、プラットフォームのドキュメントをご覧ください。

注: Apigee Ingress ゲートウェイの公開に記載されているように、Ingress ゲートウェイデプロイ用に独自の Kubernetes Service を作成する場合、ここに Annotations を設定する必要はありません。
構成プロパティリファレンスの ingressGateways[].svcAnnotations をご覧ください。
SVC_LOAD_BALANCER_IP（省略可）。ロードバランサの IP アドレスの指定をサポートするプラットフォームでは、この IP アドレスを使用してロードバランサが作成されます。ロードバランサの IP アドレスを指定できないプラットフォームでは、このプロパティは無視されます。
注意: 現在の istio-ingressgateway と同じ IP アドレスは指定しないでください。指定すると、サービスがクラスタで実行されているときに問題が発生する可能性があります。

注: Apigee Ingress ゲートウェイの公開に記載されているように、Ingress ゲートウェイデプロイ用に独自の Kubernetes Service を作成する場合、LoadBalancerIP を設定する必要はありません。
構成プロパティリファレンスの ingressGateways[].svcLoadBalancerIP をご覧ください。

Apigee Ingress ゲートウェイ構成を適用する

apigeectl を使用して、組織スコープに変更を適用します。

$APIGEECTL_HOME/apigeectl apply -f overrides/overrides.yaml --org

管理タスク

Apigee Ingress ゲートウェイの一般的な管理タスク:

Apigee Ingress ゲートウェイのスケーリング:

オーバーライドファイルで次のプロパティを更新します。

ingressGateways[].replicaCountMax
ingressGateways[].replicaCountMin

詳細については、構成プロパティのリファレンスの ingressGateways をご覧ください。

apigeectl apply --org を使用して変更を適用します。

リソース割り振りの更新

オーバーライドファイルで次のプロパティを更新します。

ingressGateways[].resources.limits.cpu
ingressGateways[].resources.limits.memory
ingressGateways[].resources.requests.cpu
ingressGateways[].resources.requests.memory

詳細については、構成プロパティのリファレンスの ingressGateways をご覧ください。

apigeectl apply --org を使用して変更を適用します。

Apigee Ingress ゲートウェイサービスの更新

オーバーライドファイルで次のプロパティを更新します。

ingressGateways[].svcAnnotations
ingressGateways[].svcLoadBalancerIP

詳細については、構成プロパティのリファレンスの ingressGateways をご覧ください。

apigeectl apply --org を使用して変更を適用します。

デフォルトの Apigee Ingress ゲートウェイサービスのロードバランサを無効にする

Ingress ゲートウェイデプロイ用のカスタム Kubernetes Service を作成すると、デフォルトの Kubernetes Service でのロードバランサの作成を無効にできます。オーバーライドファイルで ingressGateways[].svcType プロパティを ClusterIP に更新します。次に例を示します。

ingressGateways:
  - name: my-ingress-gateway
    replicaCountMin: 2
    replicaCountMax: 10
    svcType: ClusterIP

apigeectl apply --org を使用して変更を適用します。

TLS と mTLS を構成する

Ingress ゲートウェイでの TLS と mTLS の構成をご覧ください。

SNI 以外のクライアントの有効化

SNI 以外のクライアントと HTTP クライアントを有効にするをご覧ください。

Apigee Ingress ゲートウェイの追加インストール

overrides.yaml ファイルで、複数の Ingress ゲートウェイを追加できます。ingressGateways 構成プロパティは配列です。詳細については、構成プロパティリファレンスの ingressGateways をご覧ください。

次に例を示します。

ingressGateways:
- name: fruit
  replicaCountMin: 2
  replicaCountMax: 10

- name: meat
  replicaCountMin: 2
  replicaCountMax: 10

apigeectl apply --org を使用して変更を適用します。

Apigee Ingress ゲートウェイデプロイへの仮想ホストのマッピング

セレクタラベルを使用して、仮想ホストを Apigee Ingress ゲートウェイデプロイにマッピングできます。次の例では、仮想ホスト spam-vh が meat というラベルの Ingress ゲートウェイで実行され、他の 2 つの仮想ホストが fruit Ingress ゲートウェイで実行するように構成されています。追加の Anthos Service Mesh ゲートウェイをインストールするで説明されているように、Ingress ゲートウェイには適切なラベルを付ける必要があります。

注: Ingress ゲートウェイを仮想ホストに適切に適用するには、selector:app と selector:ingress_name の両方のセレクタを指定する必要があります。

virtualhosts:
- name: spam-vh
  sslCertPath: cert-spam.crt
  sslKeyPath: cert-spam.key
  selector:
    app: apigee-ingressgateway
    ingress_name: meat
- name: banana-vh
  sslCertPath: cert-banana.crt
  sslKeyPath: cert-banana.key
  selector:
    app: apigee-ingressgateway
    ingress_name: fruit
- name: plum-vh
  sslCertPath: cert-plum.crt
  sslKeyPath: cert-plum.key
  selector:
    app: apigee-ingressgateway
    ingress_name: fruit

Apigee Ingress ゲートウェイデプロイへのカスタム暗号スイートの追加

Apigee ハイブリッドは TLS v1.2 暗号スイートをサポートしています。TLS v1.0 または v1.1 を使用している場合、オーバーライドファイルで virtualhosts.cipherSuites プロパティを使用して、Apigee Ingress ゲートウェイデプロイにカスタム暗号スイートを追加できます。

たとえば、TLS v.1.1 をサポートするには次のようにします。

virtualhosts:
- name: ENV_GROUP_NAME
  minTLSProtocolVersion: "1.1"
  cipherSuites:
  - "ECDHE-ECDSA-AES128-GCM-SHA256"
  - "ECDHE-RSA-AES128-GCM-SHA256"
  - "ECDHE-ECDSA-AES256-GCM-SHA384"
  - "ECDHE-RSA-AES256-GCM-SHA384"
  - "ECDHE-ECDSA-CHACHA20-POLY1305"
  - "ECDHE-RSA-CHACHA20-POLY1305"
  - "ECDHE-ECDSA-AES128-SHA"
  - "ECDHE-RSA-AES128-SHA"
  - "ECDHE-ECDSA-AES256-SHA"
  - "ECDHE-RSA-AES256-SHA"
  ...

たとえば、TLS v.1.0 をサポートするには次のようにします。

virtualhosts:
- name: ENV_GROUP
  minTLSProtocolVersion: "1.0"
  cipherSuites:
  - "ECDHE-ECDSA-AES128-GCM-SHA256"
  - "ECDHE-RSA-AES128-GCM-SHA256"
  - "ECDHE-ECDSA-AES256-GCM-SHA384"
  - "ECDHE-RSA-AES256-GCM-SHA384"
  - "ECDHE-ECDSA-CHACHA20-POLY1305"
  - "ECDHE-RSA-CHACHA20-POLY1305"
  - "ECDHE-ECDSA-AES128-SHA"
  - "ECDHE-RSA-AES128-SHA"
  - "ECDHE-ECDSA-AES256-SHA"
  - "ECDHE-RSA-AES256-SHA"
  ...

Ingress アクセスログをカスタマイズする

istiod.accessLogFile と istiod.accessLogFormat の構成プロパティを使用して、Apigee Ingress ゲートウェイのアクセスログの宛先と形式をカスタマイズできます。次の例では、出力は /dev/stdout に送信されます。これは istiod.accessLogFile のデフォルト値です。

istiod:
  accessLogFormat: '{"request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","status":"%RESPONSE_CODE%"}'

Apigee Ingress ゲートウェイのアクセスロギングを無効にするには、istiod.accessLogFile と空の値を割り当てます。次に例を示します。

istiod:
  accessLogFile: ''

よくある質問

別の Namespace にある既存の Anthos Service Mesh / Istio インストールではどのように機能しますか？: Apigee が専用の Namespace にインストールされている限り、Apigee Ingress ゲートウェイはクラスタ内の既存の Anthos Service Mesh / Istio のインストールと並行して実行できます。Apigee Ingress ゲートウェイは apiserver に構成を保存していないため、競合は発生しません。
Apigee Ingress ゲートウェイコンポーネントのアップグレードの担当者は誰ですか？: Apigee Ingress ゲートウェイコンポーネントのアップグレードは Apigee によって処理され、定期的なハイブリッドアップグレードとパッチリリース時に行われます。
Apigee Ingress ゲートウェイでポート 80 を公開するにはどうすればよいですか？: ポート 80 は Apigee Ingress ゲートウェイではサポートされていません。Anthos Service Mesh から Apigee Ingress ゲートウェイに移行し、コミュニティ投稿の手順に沿ってポート 80 を有効にしても、Apigee Ingress ゲートウェイでは動作しません。

Apigee Ingress ゲートウェイの管理

Apigee Ingress ゲートウェイの構成

構文

例

Apigee Ingress ゲートウェイ構成を適用する

管理タスク

Apigee Ingress ゲートウェイのスケーリング:

リソース割り振りの更新

Apigee Ingress ゲートウェイ サービスの更新

デフォルトの Apigee Ingress ゲートウェイ サービスのロードバランサを無効にする

TLS と mTLS を構成する

SNI 以外のクライアントの有効化

Apigee Ingress ゲートウェイの追加インストール

Apigee Ingress ゲートウェイ デプロイへの仮想ホストのマッピング

Apigee Ingress ゲートウェイ デプロイへのカスタム暗号スイートの追加

Ingress アクセスログをカスタマイズする

よくある質問

Apigee Ingress ゲートウェイサービスの更新

デフォルトの Apigee Ingress ゲートウェイサービスのロードバランサを無効にする

Apigee Ingress ゲートウェイデプロイへの仮想ホストのマッピング

Apigee Ingress ゲートウェイデプロイへのカスタム暗号スイートの追加