Zum Hauptinhalt springen
Zugriff & Administration

NGINX Gateway Fabric

Gemeinsame externe Eintrittsschicht für HTTP- und HTTPS-Endpunkte der UDSP.

NGINX Gateway Fabric ist die Implementierung der Kubernetes Gateway API in der UDSP. Sie bildet die gemeinsame äußere Verkehrsschicht: Ein LoadBalancer nimmt Anfragen auf Port 80 und 443 entgegen, das zentrale Gateway definiert die Listener, und HTTPRoute-Ressourcen leiten Domains und Pfade an die vorgesehenen Kubernetes-Services weiter.

Ersatz für den bisherigen Ingress-Pfad​

Für Neuinstallationen ersetzt Gateway API mit NGINX Gateway Fabric den bisherigen Kubernetes-Ingress-Controller. Bei aktivem inv_k8s.gateway_api.enable: true erzeugt die UDSP für reguläre öffentliche Dienste Gateway, ListenerSet und HTTPRoute statt Ingress-Ressourcen. Der frühere Ingress-Pfad bleibt ausschließlich für bestehende Installationen und deren kontrollierte Migration erhalten.

APISIX bleibt davon getrennt: NGINX Gateway Fabric veröffentlicht den technischen HTTPS-Endpunkt; APISIX verarbeitet danach die geschützten Fach-APIs einschließlich Token-Prüfung, Scopes und API-Routing.

Zugriffskette​

Öffentliche Adresse

DNS und LoadBalancer

Plattform- und Mandantendomains zeigen auf den LoadBalancer-Service der Gateway-Fabric.

Gateway API

Gateway und ListenerSet

Definieren HTTP-/HTTPS-Listener und die TLS-Terminierung für Betriebs- und Mandantendomains.

Routing

HTTPRoute

Ordnet Hostnamen und Pfade den freigegebenen internen Services zu.

Zertifikate

cert-manager

Erstellt und erneuert die TLS-Secrets, die Gateway und ListenerSets referenzieren.

Konfiguration und Deployment​

Der Standardpfad ist im Inventory unter inv_k8s.gateway_api aktiviert. Die Automatisierung installiert die Gateway-API-CRDs, NGINX Gateway Fabric im Namespace nginx-gateway, das zentrale Gateway sowie ListenerSets für die Betriebs- und Mandantendomains. Die Mandanteninstallation erzeugt anschließend die passenden HTTPRoutes für aktivierte Komponenten.

inv_k8s:
  gateway_api:
    enable: true
    gateway_namespace: "nginx-gateway"
    gateway_cluster_issuer: "letsencrypt-gateway-prod"
    load_balancer_ip: ""

load_balancer_ip bleibt leer, sofern der Infrastrukturprovider die Adresse dynamisch vergibt. Eine reservierte oder bestehende Adresse wird nur eingetragen, wenn der jeweilige Provider das verlangt. inv_k8s.ingress_class gehört zum Legacy-Pfad und wird bei aktivierter Gateway API nicht für die regulären öffentlichen Routen verwendet.

Technische Abhängigkeiten​

NGINX Gateway Fabric bildet die gemeinsame äußere Verkehrsschicht. Sie veröffentlicht keine Fachdaten selbst, sondern leitet Anfragen anhand von Gateway-API-Ressourcen an die vorgesehenen Dienste weiter.

cert-manager
TLS-Zertifikate · 1.20.2

cert-manager

Erstellt und erneuert die Zertifikate, die Gateway und ListenerSets für öffentliche HTTPS-Hosts referenzieren.

Komponente öffnen
APISIX
API-Ziel · 3.17.0

APISIX

Erhält die über api.<DOMAIN> veröffentlichten Fach-API-Anfragen und übernimmt dort Authentifizierung sowie API-spezifisches Routing.

Komponente öffnen

Betriebshinweise​

Prüfen Sie nach einem Rollout neben Pods und Zertifikaten auch Gateway, ListenerSet und HTTPRoute. Eine veröffentlichte Komponente ist erst erreichbar, wenn die Route angenommen wurde, das passende TLS-Secret vorhanden ist und DNS auf den Gateway-LoadBalancer zeigt. Der Upgrade Guide 3.0 → 3.1 beschreibt den getrennten Migrationspfad für bestehende Ingress-Installationen.

Referenzen​