2. Kubernetes Ingress 基础回顾

在构建自动化灰度发布流水线之前，必须先理解 Ingress 的核心概念。Ingress 是 Kubernetes 中管理集群外部访问集群内服务的 API 对象，它提供了 HTTP/HTTPS 路由、TLS 终止、虚拟主机和负载均衡等能力。本章将系统回顾 Ingress 资源定义、Ingress Controller 工作原理以及主流实现方案。

2.1 Ingress 资源定义

Ingress 资源本身只是一个路由规则声明，它定义了外部流量如何到达集群内的 Service。一个典型的 Ingress 资源包含：域名规则、路径匹配、后端 Service 映射以及可选的 TLS 配置。

以下是一个完整的 Ingress 资源示例，将 app.example.com 的流量路由到 my-service 的 80 端口：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  ingressClassName: nginx
  rules:
  - host: app.example.com
    http:
      paths:
      - path: /api
        pathType: Prefix
        backend:
          service:
            name: my-service
            port:
              number: 80
  tls:
  - hosts:
    - app.example.com
    secretName: my-tls-secret

2.2 Ingress Controller 工作原理

Ingress 资源本身只是一个声明，真正实现流量路由的是 Ingress Controller。它是一个运行在集群中的 Pod，负责监听 Ingress 资源的变化，并将规则转换为底层反向代理（如 Nginx、Traefik）的配置。

下图展示了 Ingress Controller 的核心工作流程：

2.3 常见的 Ingress Controller

社区中有多种 Ingress Controller 实现，其中 Nginx Ingress Controller 和 Traefik 是最主流的两个选择。下表从多个维度对比它们的特性：

2.4 Nginx Ingress Controller 的灰度发布能力

Nginx Ingress Controller 通过 Canary 注解 实现灰度发布，这是本课程流水线集成的核心能力。它支持三种流量分割策略：

• 基于权重（Weight）：按百分比将流量分配到灰度版本，适合 A/B 测试。
• 基于 Header：匹配特定 HTTP Header 的请求进入灰度版本，适合内部测试。
• 基于 Cookie：匹配特定 Cookie 值的请求进入灰度版本，适合会话保持。

以下是一个基于权重的 Canary Ingress 示例，将 10% 的流量路由到灰度 Service：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-app-canary
  annotations:
    nginx.ingress.kubernetes.io/canary: "true"
    nginx.ingress.kubernetes.io/canary-weight: "10"
spec:
  ingressClassName: nginx
  rules:
  - host: app.example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: my-service-canary
            port:
              number: 80

2.5 Traefik 的灰度发布能力

Traefik 通过 中间件（Middleware） 和 流量分割（Traffic Splitting） 实现灰度发布。它原生支持 CRD（Custom Resource Definition），配置更符合云原生理念。

Traefik 的灰度发布通常使用 TraefikService 资源进行流量分割：

apiVersion: traefik.containo.us/v1alpha1
kind: TraefikService
metadata:
  name: my-app-split
spec:
  weighted:
    services:
    - name: my-service-stable
      weight: 90
      port: 80
    - name: my-service-canary
      weight: 10
      port: 80

下表总结了 Nginx 和 Traefik 在灰度发布场景下的关键差异：