任意: L7 ロード バランサーを構成する

概要

レイヤー 7 (L7) ロード バランサーのサポートは、マルチノードの高可用性対応の運用環境のデプロイにおいて、標準のレイヤー 4 (L4) 構成に代わるオプションとして使用できます。ネットワーク/トランスポート層で動作するL4ロードバランサとは異なり、L7ロードバランサは、高度なトラフィック管理機能を備えたアプリケーション層のインテリジェンスを提供します。

L7 ロード バランサーを使用する主な利点は次のとおりです。

• 一般的な Web の脆弱性に対する Web アプリケーション ファイアウォール (WAF) の保護
• ロード バランサー レベルでの SSL/TLS 終端により、バックエンド サーバーの負荷が軽減されます
• インテリジェントなトラフィック分散のためのコンテンツとパスベースのルーティング
• アプリケーション層の可視性による高度な監視と分析

重要:

• RKE2 は、ロード バランサー レベルでの TLS 終端処理をサポートしていません。これには、Kubernetes API や RKE2 Supervisor などのサービスに対する直接の TCP/TLS パススルーが必要です。
• L4 構成が推奨されます。ただし、L7 構成もサポートされています。
• L7 ロード バランサーは、クライアント IP トラッキングに対して同じ x-forwarded-for ヘッダー保持をサポートします。

次の図は、L7 ロード バランサーによって HTTPS トラフィックがどのように処理されるかを示しています。

重要:

1. HTTPS リスナー証明書

   ロードバランサーの HTTPS リスナーで、クライアントが検証した TLS 証明書 (カスタム SAN 証明書) を構成する必要があります。これにより、すべてのブラウザー クライアントと API クライアントが Automation Suite エンドポイントを信頼するようになります。証明書は、クライアントからロード バランサーへの SSL 接続に必要です。

2. バックエンド TLS 証明書

   サーバー側の TLS 証明書が自己署名証明書である場合、またはパブリック CA によって発行されていない場合は、対応するルート証明書をロード バランサーのバックエンド構成にアップロードします。これにより、ロード バランサーは Automation Suite サーバーへのトラフィックを検証して再暗号化できます。証明書は、ロード バランサーとサーバーの SSL 接続に必要です。

Automation Suite では、次の 2 つの L7 ロード バランサー構成がサポートされています。

• L4 機能構成を備えた L7 ロード バランサ ー (推奨)
• L7 専用ロード バランサーの構成 (代替)

推奨構成: L4 機能を備えた L7 ロード バランサー

この構成では、RKE2 との互換性を維持しながら、L7 のすべての機能が提供されます。

要件

この構成を使用するには、ロード バランサーが次の要件を満たしている必要があります。

• L7 モードと L4 モードの両方をサポート (Azure Application Gateway など)
• 直接 TCP/TLS 接続を必要とする Kubernetes コントロール プレーン サービス (ポート 6443 および 9345) の TCP/TLS パススルーを許可します

バックエンド プールを構成する

構成の一環として、ロード バランサーに次のバックエンド プールを設定する必要があります。

• サーバー プール: すべてのサーバー ノードのみ (エージェント ノードは含まない)
• ノード プール: すべてのサーバー ノードと特殊化されていないエージェント ノード (GPU または Attended ロボットは不可)
• 一時レジストリ プール: 一時レジストリがインストールされているサーバー ノードです
  • このプールは、インストール、ノード参加、およびアップグレード時にのみ使用されます。これらの手順が完了したら、閉じることができます。

ロード バランサーのポートを有効化する

ロード バランサーで次のポートを有効にする必要があります。次の表に、必要なポートとそのトラフィック処理を示します。

ポート	プロトコル	レイヤー	目的	トラフィック処理
443	https	L7	Automation Suite の Web アクセス	ロード バランサー (ノード プール) での SSL 終了
300701	HTTP	L7	一時レジストリ アクセス	TLS 終端なし (一時レジストリ プール)
6443	TCP	L4	Kubernetes API アクセス (ノード参加)	TCP/TLS パススルー (サーバー プール)
9345	TCP	L4	Kubernetes API アクセス (ノード参加)	TCP/TLS パススルー (サーバー プール)

¹外部の OCI 準拠レジストリがない場合は、ロード・バランサーと、一時的な Docker レジストリがインストールされているサーバー・ノードでポート 30070 を開く必要があります。

また、上記の定義に従って、ロード バランサーでリスナー、正常性プローブ、ルーティング規則、バックエンドの設定を構成します。

次の図は、L4 機能を備えた L7 ロードバランサでポートがどのように有効化され、マッピングされるかを示しています。

代替構成: L7 専用ロード バランサー

この構成は、L4 機能が使用できない環境を対象としています。この場合、ノード参加は L7 ロード バランサーをバイパスし、コントロール プレーン トラフィック用のサーバー ノードに直接接続します。

重要:

• この構成では、インストール中にノードに障害が発生した場合の回復性は提供されません。
• プライマリ サーバーがダウンしたり削除されたりした場合は、クラスター構成を更新する必要があります。削除後に新しいサーバー ノードを追加する場合は、要件に基づいて適切に構成してから、サーバー ノード プールに追加します。
• プライマリ サーバーの FQDN を、クラスター内の利用可能な別のマシンに再マッピングする必要があります。

バックエンド プールを構成する

この構成では、ロード バランサー上に次のバックエンド プールを作成する必要があります。

• ノード プール: すべてのサーバー ノードと特殊化されていないエージェント ノードが含まれます
• 一時レジストリ プール (必要な場合): 一時レジストリがインストールされているサーバー ノードが含まれます

ロード バランサーのポートを有効化する

ロード バランサーで次のポートを有効にする必要があります。次の表に、必要なポートとそのトラフィック処理を示します。

ポート	プロトコル	目的	トラフィック処理
443	https	Automation Suite の Web アクセス	トラフィックをノード プールに転送する

次の図は、L7 専用ロード バランサーのポート構成を示しています。