设置公共或私有 VPC ALB

准备工作

• 确保您拥有 Writer 或 Manager IBM Cloud IAM 服务访问角色，用于为 VPC ALB 部署 Kubernetes LoadBalancer 服务的命名空间。
• 访问您的 Red Hat OpenShift 群集。
• 要查看 VPC ALB，请安装 infrastructure-service 插件。 用于运行命令的前缀是 ibmcloud is。

  ibmcloud plugin install infrastructure-service
  

要使您的应用能够接收公共或私有请求：

1. 将应用程序部署到集群。 确保在部署配置文件的 metadata 部分中添加标签。 此定制标签可标识运行您的应用程序的所有 pod，以便在负载均衡中包含这些 pod。

2. 为您的 Kubernetes LoadBalancer 服务创建配置 YAML 文件。 在 YAML 文件中，将 service.kubernetes.io/ibm-load-balancer-cloud-provider-ip-type 注解指定为 "public" 或 "private"。 示例文件中的 annotations 部分仅包含一些可用注释。 有关必需和可选 VPC ALB 注释的完整列表，请参阅 注释和规范。

   为使您的 VPC ALB 易于识别，请考虑以 <app_name>-vpc-alb-<VPC_zone> 的格式命名服务。

   apiVersion: v1
   kind: Service
   metadata:
     name: myloadbalancer
     annotations:
       service.kubernetes.io/ibm-load-balancer-cloud-provider-vpc-lb-name: "`<app_name>-vpc-alb-<VPC_zone>`"
       service.kubernetes.io/ibm-load-balancer-cloud-provider-enable-features: "proxy-protocol"
       service.kubernetes.io/ibm-load-balancer-cloud-provider-ip-type: "<public_or_private>"
       service.kubernetes.io/ibm-load-balancer-cloud-provider-vpc-node-selector: "<key>=<value>"
   spec:
    type: LoadBalancer
    selector:     
       <selector_key>: <selector_value>
    ports:
      - name: http
        protocol: TCP
        port: 8080
        targetPort: 8080 # Optional. By default, the `targetPort` is set to match the `port` value unless specified otherwise.
      - name: https
        protocol: TCP
        port: 443
        targetPort: 443 # Optional. By default, the `targetPort` is set to match the `port` value unless specified otherwise.
     externalTrafficPolicy: Local # Specify Local or Cluster.
   

3. 在集群中创建 Kubernetes LoadBalancer 服务。

   oc apply -f myloadbalancer.yaml -n <namespace>
   

4. 验证 Kubernetes LoadBalancer 服务是否已在集群中成功创建。 创建服务时，LoadBalancer 的“Ingress”字段会自动填充由 VPC ALB 分配的主机名。

在您的 VPC 中配置 VPC ALB 需要几分钟时间。 在 VPC ALB 完全配置完成之前，您无法通过 Kubernetes LoadBalancer 服务的主机名访问您的应用。

```sh {: pre}
oc describe svc myloadbalancer -n <namespace>
```
公共 `LoadBalancer` 服务的 CLI 输出示例：
```sh {: screen}
NAME:                     myvpcalb
Namespace:                default
Labels:                   <none>
Annotations:              
Selector:                 app=echo-server
Type:                     LoadBalancer
IP:                       172.21.XX.XX
LoadBalancer Ingress:     1234abcd-us-south.lb.appdomain.cloud
Port:                     tcp-80  80/TCP
TargetPort:               8080/TCP
NodePort:                 tcp-80  30610/TCP
Endpoints:                172.17.17.133:8080,172.17.22.68:8080,172.17.34.18:8080 + 3 more...
Session Affinity:         None
External Traffic Policy:  Local
HealthCheck NodePort:     31438
Events:
    Type    Reason                           Age   From                Message
----    ------                           ----  ----                -------
Normal  EnsuringLoadBalancer             16m   service-controller  Ensuring load balancer
Normal  EnsuredLoadBalancer              15m   service-controller  Ensured load balancer
Normal  CloudVPCLoadBalancerNormalEvent  13m   ibm-cloud-provider  Event on cloud load balancer myvpcalb for service default/myvpcalb with UID 08cbacf0-2c93-4186-84b6-c4ab88a2faf9: The VPC load balancer that routes requests to this Kubernetes LoadBalancer service is currently online/active.
```

5. 请确认 VPC ALB 已在您的 VPC 中成功创建。 在输出结果中，请确认该 VPC ALB 的“运行状态”为 online，且“配置状态”为 active。

   ibmcloud is load-balancers
   

   在下面的 CLI 输出示例中，为 Kubernetes LoadBalancer 服务创建了一个名为 kube-bsaucubd07dhl66e4tgg-1f4f408ce6d2485499bcbdec0fa2d306 的 VPC ALB：

   ID                                          Name                                                         Family        Subnets               Is public   Provision status   Operating status   Resource group
   r006-d044af9b-92bf-4047-8f77-a7b86efcb923   kube-bsaucubd07dhl66e4tgg-1f4f408ce6d2485499bcbdec0fa2d306   Application   mysubnet-us-south-3   true        active             online             default
   

6. 如果您创建了一个公共的 LoadBalancer 服务，请使用curl命令访问 Kubernetes LoadBalancer 服务的主机名，该主机名由您在第4步中找到的VPC ALB分配。 示例：

   curl 06496f64-us-south.lb.appdomain.cloud:8080
   

   示例输出

   Hello world from hello-world-deployment-5fd7787c79-sl9hn! Your app is up and running in a cluster!
   

   如果创建的是专用 LoadBalancer 服务，那么必须连接到专用 VPC 网络才能对主机名运行 curl 命令。

在创建群集时或在区域中添加工作节点时，请勿删除连接到群集的子网。 如果删除群集使用过的 VPC 子网，使用该子网 IP 地址的负载平衡器可能会出现问题，而且可能无法创建新的负载平衡器。

未与 Kubernetes 或 OpenShift 集群关联的 VPC ALB 和 NLB，可直接通过“ibmcloud is”命令或控制台中的 “VPC 基础设施”部分进行更新。 例如，更改前端监听器的端口或健康检查超时值。 但对于与 Kubernetes 或 OpenShift 集群关联的 VPC 负载均衡器，对其进行的任何更新都必须通过 Ingress 配置中的注解来完成。 IBM Cloud 提供程序会定期与任何关联的 VPC ALB 和 NLB 重新同步，以确保正在运行的负载均衡器符合 Ingress 的预期配置。 因此，如果您不使用 Ingress 注解，而是直接通过 VPC 对这样的负载均衡器进行任何更改，这些更改将会被撤销。

注册 DNS 记录和 TLS 证书

Application Load Balancer for VPC （VPC ALB）提供了一个默认的 HTTP 主机名，格式为 1234abcd-<region>.lb.appdomain.cloud，您可以通过该主机名访问您的应用。 不过，如果您希望为应用域获取一个 TLS 证书以支持 HTTPS，您可以为公共和私有 VPC ALB 分别创建一个由 IBM 提供的子域名，或者使用您自己的自定义域名。

为 VPC ALB 主机名创建 DNS 子域名后，您将无法使用 nlb-dns health-monitor 命令来创建自定义健康检查。 相反，系统会使用为默认 VPC ALB 主机名提供的默认 VPC 负载均衡器健康检查。 有关更多信息，请参阅 VPC 文档。

准备工作

• 设置 VPC ALB。 确保在配置 VPC ALB 的 Kubernetes LoadBalancer 服务中定义 HTTPS 端口。
• 若要使用 TLS 证书通过 HTTPS 访问您的应用，您的应用必须能够终止 TLS 连接。

使用 DNS 子域注册 VPC ALB 主机名：

1. 运行 get svc 命令，获取 VPC ALB 的主机名。 在输出的 EXTERNAL-IP 列中查找该主机名。 例如，1234abcd-us-south.lb.appdomain.cloud。

   oc get svc -o wide
   

   示例输出

   NAME            TYPE           CLUSTER-IP       EXTERNAL-IP                            PORT(S)     AGE       SELECTOR
   ...
   webserver-lb    LoadBalancer   172.21.xxx.xxx   1234abcd-us-south.lb.appdomain.cloud   8080:30532/TCP     1d       run=webserver
   

2. 为负载均衡器的主机名创建一个自定义的或由 IBM 提供的DNS子域名。

   • 自定义域：提供您自己的自定义域，并通过指定负载平衡器的外部 IP（格式为 1234abcd-us-south.lb.appdomain.cloud 作为规范名称记录 (CNAME)）为其赋予别名。

     1. 通过与域名服务 (DNS) 提供商或 IBM Cloud DNS 合作，注册自定义域名。
     2. 通过将负载均衡器的外部 IP 地址指定为规范名称记录 (CNAME)，为您的自定义域名定义一个别名。 在下面的示例中，外部 IP 为 1234abcd-us-south.lb.appdomain.cloud 的负载平衡器可通过 www.your-custom-domain.com 到达。

     主机/服务

     您希望到达应用程序的前缀，如 www。

     资源类型

     选择 CNAME。

     TTL

     选择生活的时间。

     值/目标

     您之前获取的 LoadBalancer 外部 IP。 例如 1234abcd-us-south.lb.appdomain.cloud.。 请注意，在使用 IBM Cloud DNS 时，请务必输入尾部句点。

   • IBM-提供的子域名：使用 nlb-dns 命令，为 VPC ALB 主机名生成一个带有 TLS 证书的子域名。IBM Cloud 会为您自动生成并维护该子域名的通配符 TLS 证书。

     1. 创建一个 DNS 子域名和 TLS 证书。

        ibmcloud oc nlb-dns create vpc-gen2 --cluster CLUSTER_NAME_OR_ID --lb-host VPC_LB_HOSTNAME --type (public|private)
        

     2. 验证子域是否已创建。 有关更多信息，请参阅了解子域格式。

        ibmcloud oc nlb-dns ls --cluster CLUSTER_NAME_OR_ID
        

        示例输出

        Subdomain                                                                               Load Balancer Hostname                        Health Monitor   SSL Cert Status           SSL Cert Secret Name
        mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["1234abcd-us-south.lb.appdomain.cloud"]      None             created                   <certificate>
        

3. 如果您为公共 VPC ALB 创建了子域名，请打开网页浏览器，输入 URL，即可通过该子域名访问您的应用，例如示例中的 www.your-custom-domain.com。 如果您为私有 VPC ALB 创建了子域名，则 必须连接到私有 VPC 网络 才能测试对该子域名的访问。

若要使用 TLS 证书通过 HTTPS 访问您的应用，请确保已在 Kubernetes LoadBalancer 服务中 定义了 HTTPS 端口。 您可以通过运行 curl -v --insecure https://<domain> 来验证请求是否正确地通过 HTTPS 端口进行路由。 连接错误表明该服务上没有打开的 HTTPS 端口。 此外，请确保您的应用能够终止 TLS 连接。 您可以通过运行 curl -v https://<domain> 来验证您的应用是否正确终止了 TLS。 证书错误表明您的应用未能正确关闭 TLS 连接。

apiVersion: v1
kind: Service
metadata:
  name: myloadbalancer
  annotations:
    service.kubernetes.io/ibm-load-balancer-cloud-provider-vpc-lb-name: "my-load-balancer"
    service.kubernetes.io/ibm-load-balancer-cloud-provider-ip-type: "private"
    service.kubernetes.io/ibm-load-balancer-cloud-provider-vpc-private-dns-instance-crn: "crn:v1:bluemix:public:dns-svcs:global:a/bb1b52262f7441a586f49068482f1e60:f761b566-030a-4696-8649-cc9d09889e88::"
    service.kubernetes.io/ibm-load-balancer-cloud-provider-vpc-private-dns-zone-id: "d66662cc-aa23-4fe1-9987-858487a61f45"
spec:
  type: LoadBalancer
status:
  loadBalancer:
    ingress:
    - ip: 169.60.115.164
...

注释和规格

查看所需和可选的 VPC ALB 注释和规范。