步驟 1：部署應用程式並建立應用程式服務

首先，部署您的應用程式並建立 Kubernetes 服務來公開它們。

1. 將應用程式部署至叢集。 請確定您已將標籤新增至您部署中配置檔的 metadata 區段，例如 app: code。 此標籤是用來識別所有執行您應用程式的 Pod，以便將這些 Pod 納入 Ingress 負載平衡範圍內。

2. 針對您要公開的每一個應用程式部署，建立 Kubernetes ClusterIP 服務。 您的應用程式必須透過 Kubernetes 服務對外公開，才能納入 Ingress 負載平衡機制中。

oc expose deploy <app_deployment_name> --name my-app-svc --port <app_port> -n <namespace>

步驟 2：使用 TLS 憑證和 Kubernetes 機密設定 TLS 終端服務

您的 TLS 憑證必須儲存為 Kubernetes 機密，且須位於您的應用程式所處的每個命名空間中。

• 若要使用由 IBM 管理的 Ingress 網域，請參閱 《為 IBM 提供的 Ingress 子網域設定 TLS 機密》。

• 若要使用您自行建立的網域（例如向外部供應商註冊的網域），請參閱《 為自訂子網域設定 TLS 機密資訊 》。

步驟 3：建立 Ingress 資源

Ingress 資源定義了 Ingress 控制器用於將流量路由至您的應用程式服務的路由規則。

1. 定義一個 Ingress 資源配置檔案，該檔案會使用 IBM 提供的網域或您的自訂網域，將傳入的網路流量路由至您先前建立的服務。

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: myingressresource
   spec:
     tls:
     - hosts:
       - <domain>
       secretName: <secret_name>
     rules:
     - host: <domain>
       http:
         paths:
         - path: /<app1_path>
           pathType: Prefix
           backend:
               service:
                   name: test
                   port:
                       number: 80
         - path: /<app2_path>
           backend:
               service:
                   name: <app2_service>
                   port:
                       number: 80
   

   tls

   若要使用 TLS，請在您的資源中加入此 TLS 區段。 請將 <domain> 替換為您的子網域。 請勿將 * 用作主機名稱，亦請勿將 host 屬性留空，以免在建立 Ingress 時發生錯誤。 請將 <tls_secret_name> 替換為您先前建立的、存放自訂網域用 TLS 憑證與金鑰的機密，或是針對 IBM 提供的子網域而自動生成的 TLS 機密。

   host

   請將 替換為 IBM 所提供的 Ingress 子網域，或您自訂的網域。 如果您的叢集中有多個專案，且這些專案中都有應用程式對外公開，則每個專案都需要一個 Ingress 資源。 您可以在每一個資源中使用相同的子網域，或在每一個資源中使用不同的子網域。 例如，如果您使用萬用字元網域，則可以將萬用字元子網域附加至網域的開頭，例如 subdomain1.custom_domain.net 或 subdomain1.mycluster-<hash>-0000.us-south.containers.appdomain.cloud。 請勿在主機名稱中使用 *，亦請勿將主機屬性留空，以免在建立 Ingress 時發生錯誤。

   path

   將 <app_path> 取代為應用程式接聽所在的路徑。 此路徑會附加至 IBM 提供的網域或您的自訂網域，以建立應用程式的唯一路徑。 當您將此路徑輸入 Web 瀏覽器時，會將網路資料流量遞送至 Ingress 控制器。 Ingress 控制器會查閱相關聯的服務，且 Ingress 控制器會將網路資料流量傳送至服務。 接著，該服務會將流量轉發至應用程式所運行的 Pod。 許多應用程式並非在特定路徑上監聽，而是使用根路徑和特定埠號。 在這種情況下，請將根路徑設定為 /，且無需為您的應用程式指定個別路徑。 對於「http://domain/」，請輸入 / 作為路徑。 對於「http://domain/app1_path」，請輸入 /app1_path 作為路徑。

   pathType

   URL 路徑比對方法。 支援的值為 ImplementationSpecific、Exact 或 Prefix。 如需各路徑類型的詳細資訊及範例，請參閱 社群 Kubernetes 文件。

   name

   請將 <app1_service> 和 <app2_service> 等網址，替換為您為公開應用程式所建立的服務名稱。 如果您的應用程式是由叢集內不同專案中的服務所提供，請僅包含位於同一專案中的應用程式服務。 對於每個包含您想要公開的應用程式的專案，您都必須建立一個 Ingress 資源。

   port

   您的服務所接聽的埠。 請使用您為應用程式建立 Kubernetes 服務時所定義的相同埠。

2. 建立叢集的 Ingress 資源。 請確保該資源部署至與您在資源中指定的應用程式服務位於同一專案中。

   oc apply -f myingressresource.yaml -n <project>
   

3. 驗證已順利建立 Ingress 資源。 如果事件中的訊息指出您的資源配置出現錯誤，請修正資源檔案中的數值，並重新套用該資源檔案。

   oc describe ingress myingressresource
   

您的 Ingress 資源會建立在與應用程式服務相同的專案中，且您的應用程式會向 Ingress 控制器登錄。

步驟 4：透過網際網路存取您的應用程式

在 Web 瀏覽器中，輸入要存取的應用程式服務的 URL。

https://<domain>/<app1_path>

如果您已公開多個應用程式，請變更附加至 URL 的路徑來存取那些應用程式。

https://<domain>/<app2_path>

如果您使用萬用字元網域，請使用自己的子網域來存取那些應用程式。

http://<subdomain1>.<domain>/<app1_path>

http://<subdomain2>.<domain>/<app1_path>

無法透過 Ingress 連接至您的應用程式? 請嘗試 疑難排解 Ingress。

步驟 1：部署應用程式並建立應用程式服務

首先，部署您的應用程式並建立 Kubernetes 服務來公開它們。

1. 將應用程式部署至叢集。 請確定您已將標籤新增至您部署中配置檔的 metadata 區段，例如 app: code。 此標籤是用來識別所有執行您應用程式的 Pod，以便將這些 Pod 納入 Ingress 負載平衡範圍內。

2. 針對您要公開的每一個應用程式部署，建立 Kubernetes ClusterIP 服務。 您的應用程式必須透過 Kubernetes 服務對外公開，才能納入 Ingress 負載平衡機制中。

oc expose deploy <app_deployment_name> --name my-app-svc --port <app_port> -n <namespace>

步驟 2：使用 TLS 憑證和 Kubernetes 機密設定 TLS 終端服務

您的 TLS 憑證必須儲存為 Kubernetes 機密，且須位於您的應用程式所處的每個命名空間中。

步驟 3: 建立並配置公用 Ingress 控制器

在準備好您的網域和 TLS 憑證後，您必須建立一個公開的 Ingress 控制器，並將該控制器設定為使用您的網域。

1. 建立公用 Ingress 控制器的配置檔。

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     name: public-ingress-controller
     namespace: openshift-ingress-operator
   spec:
     replicas: 2
     domain: <domain>
     endpointPublishingStrategy:
       loadBalancer:
         scope: External
       type: LoadBalancerService
   

2. 在叢集的 openshift-ingress-operator 專案中建立 IngressController 資源。 當您建立IngressController,會根據IngressController設定自動建立一個公共 Ingress 控制器並部署在 openshift-ingress 專案中。 此外，還會建立 Ingress 控制器服務，以公開 Ingress 控制器。

   oc create -f public-ingress-controller.yaml -n openshift-ingress-operator
   

3. 執行 oc get 指令，並在 router-public-ingress-controller 服務的 外部 IP 欄位中尋找 VPC 主機名稱。 在 VPC 叢集裡，服務的外部 IP 位址不是靜態的，而是保留在 VPC 指派的主機名稱後面。

   oc get svc router-public-ingress-controller -n openshift-ingress
   

   輸出範例

   NAME                                  TYPE           CLUSTER-IP       EXTERNAL-IP                             PORT(S)                      AGE
   router-public-ingress-controller     LoadBalancer   172.21.57.132    1234abcd-us-south.lb.appdomain.cloud    80/TCP,443/TCP,1940/TCP      3m
   

4. 向您先前選擇的網域登錄服務的 VPC 主機名稱。

   • 自訂網域: 使用 DNS 提供者，將 router-public-ingress-controller 服務的 VPC 主機名稱新增為對映至自訂網域的 CNAME。
   • IBM提供的網域: 為 router-public-ingress-controller 服務的 VPC 主機名稱建立 DNS 項目。 當您執行下列指令時，會自動產生您在 public-ingress-controller.yaml 檔案中指定的子網域，並向 router-public-ingress-controller 服務登錄。 系統會在您指定應用程式執行位置的專案中，自動為該網域產生一個 TLS 祕鑰。 密鑰名稱遵循子網域的截斷格式，例如 mycluster-a1b2cdef345678g9hi012j3kl4567890-0003。

       ibmcloud oc nlb-dns create vpc-gen2 --cluster <cluster_name_or_ID> --lb-host <VPC_hostname> --secret-namespace <project>
       ```
   
   

步驟 4：建立 Ingress 資源

Ingress 資源定義了 Ingress 控制器用於將流量路由至您的應用程式服務的路由規則。

1. 定義一個 Ingress 資源配置檔案，該檔案會使用 IBM 提供的網域或您的自訂網域，將傳入的網路流量路由至您先前建立的服務。

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: myingressresource
   spec:
     tls:
     - hosts:
       - <subdomain>
       secretName: <custom_secret_name>
     rules:
     - host: <subdomain>
       http:
         paths:
         - path: /<app1_path>
           pathType: Prefix
           backend:
               service:
                 name: <app1_service>
                 port:
                   number: 80
         - path: /<app2_path>
           backend:
               service:
                 name: <app2_service>
                 port:
                   number: 80
   

   tls

   若要使用 TLS，請在您的資源中加入此 TLS 區段。

   請將 <domain> 替換為您的子網域。 請勿在主機名稱中使用 *，亦請勿將主機屬性留空，以免在建立 Ingress 時發生錯誤。

   請將 <tls_secret_name> 替換為您先前建立的、存放自訂網域的 TLS 憑證與金鑰的機密，或是針對 IBM 提供的子網域而自動生成的 TLS 機密。

   host

   請將 <domain> 替換為您的子網域。 如果您的叢集中有多個專案，且這些專案中都有應用程式對外公開，則每個專案都需要一個 Ingress 資源。 您可以在每一個資源中使用相同的子網域，或在每一個資源中使用不同的子網域。 例如，如果您使用萬用字元網域，則可以將萬用字元子網域附加至網域的開頭，例如 subdomain1.custom_domain.net。 請勿在主機名稱中使用 *，亦請勿將主機屬性留空，以免在建立 Ingress 時發生錯誤。

   path

   將 <app_path> 取代為應用程式接聽所在的路徑。 此路徑會附加至 IBM 提供的網域或您的自訂網域，以建立應用程式的唯一路徑。 當您將此路徑輸入 Web 瀏覽器時，會將網路資料流量遞送至 Ingress 控制器。 Ingress 控制器會查詢相關的服務，並將網路流量傳送至該服務。 接著，該服務會將流量轉發至應用程式所運行的 Pod。 許多應用程式並非在特定路徑上監聽，而是使用根路徑和特定埠號。 在這種情況下，請將根路徑設定為 /，且無需為您的應用程式指定個別路徑。 例如，若要使用 http://domain/，請輸入 / 作為路徑。 對於「http://domain/app1_path」，請輸入 /app1_path 作為路徑。

   pathType

   URL 路徑比對方法。 支援的值為 ImplementationSpecific、Exact 或 Prefix。 如需各路徑類型的詳細資訊及範例，請參閱 社群 Kubernetes 文件。

   name

   請將 <app1_service> 和 <app2_service> 等網址，替換為您為公開應用程式所建立的服務名稱。 如果您的應用程式是由叢集內不同專案中的服務所提供，請僅包含位於同一專案中的應用程式服務。 對於每個包含您想要公開的應用程式的專案，您都必須建立一個 Ingress 資源。

   port

   您的服務所接聽的埠。 請使用您為應用程式建立 Kubernetes 服務時所定義的相同埠。

2. 建立叢集的 Ingress 資源。 請確保該資源部署至與您在資源中指定的應用程式服務位於同一專案中。

   oc apply -f myingressresource.yaml -n <project>
   

3. 驗證已順利建立 Ingress 資源。 如果事件中的訊息指出您的資源配置出現錯誤，請修正資源檔案中的數值，並重新套用該資源檔案。

   oc describe ingress myingressresource
   

您的 Ingress 資源會建立在與應用程式服務相同的專案中，且您的應用程式會向 Ingress 控制器登錄。

步驟 5：從網際網路存取您的應用程式

在 Web 瀏覽器中，輸入要存取的應用程式服務的 URL。

https://<domain>/<app1_path>

如果您已公開多個應用程式，請變更附加至 URL 的路徑來存取那些應用程式。

https://<domain>/<app2_path>

如果您使用萬用字元網域，請使用自己的子網域來存取那些應用程式。

http://<subdomain1>.<domain>/<app1_path>

http://<subdomain2>.<domain>/<app1_path>

無法透過 Ingress 連接至您的應用程式? 請嘗試 疑難排解 Ingress。