如何在aws-alb-ingress-controller上保护端点不被公开访问？

Question

有没有办法像nginx-ingress-controller (NLB)那样，用snippet-server注解来保护端点不被公开访问，或者只允许一个IP列表访问？

谢谢你

Answer 1

Nginx-ingress的注释是 白名单-来源范围

您可以通过以下方式指定允许的客户端IP源范围 nginx.ingress.kubernetes.io/whitelist-source-range 注解。该值是一个逗号分隔的 CIDRs譬如说. 10.0.0.0/24,172.10.0.1.

对于LoadBalancer的访问控制，你可以使用以下注释。alb.ingress.kubernetes.io/inbound-cidrs

指定允许访问LoadBalancer的CIDR。

例如：:

alb.ingress.kubernetes.io/inbound-cidrs: 10.0.0.0/24

该注解将被忽略，如果 alb.ingress.kubernetes.io/security-groups 是指定的。

另外 alb.ingress.kubernetes.io/security-groups 其中指定了您要附加到 LoadBalancer 的 securityGroups。

当该注释不存在时，控制器将自动创建 2 个安全组：第一个安全组将附加到 LoadBalancer 并允许从 inbound-cidrs 至 listen-ports. 第二个安全组将连接到 EC2 实例，并允许来自为 LoadBalancer 创建的第一个安全组的所有 TCP 流量。

例子........................................................................................................................................:

alb.ingress.kubernetes.io/security-groups: sg-xxxx, nameOfSg1, nameOfSg2