クラスター内で実行されているサービスへのアクセス

このページでは、Kubernetesクラスター内で実行されているサービスに接続する方法を説明します。

始める前に

Kubernetesクラスターが必要、かつそのクラスターと通信するためにkubectlコマンドラインツールが設定されている必要があります。 このチュートリアルは、コントロールプレーンのホストとして動作していない少なくとも2つのノードを持つクラスターで実行することをおすすめします。 まだクラスターがない場合、minikubeを使って作成するか、 以下のいずれかのKubernetesプレイグラウンドも使用できます:

• iximiuz Labs
• Killercoda
• KodeKloud
• Play with Kubernetes

バージョンを確認するには次のコマンドを実行してください: kubectl version.

クラスター内で実行されているサービスへのアクセス

Kubernetesでノード、Pod、そしてServiceは、それぞれの独自のIPアドレスを持ちます。 多くの場合、クラスター内のノードIP、Pod IP、そして一部のService IPはルーティングされないため、デスクトップマシンなどのクラスター外のマシンからは到達できません。

接続方法

クラスター外からノード、PodそしてServiceに接続するためには、いくつかのオプションがあります。

• パブリックIPを介してServiceにアクセスする。
  • クラスター外からServiceに到達できるようにNodePortまたはLoadBalancerタイプのServiceを使用します。 詳細はServiceおよびkubectl exposeのドキュメントを参照してください。
  • クラスターの環境によって、Serviceが社内ネットワークのみに公開される場合もあれば、インターネットに公開される場合もあります。 公開するServiceが安全かどうかを検討してください。 そのServiceは独自の認証機能を備えていますか？
  • PodはServiceの背後に配置します。 デバッグなどの目的で、複数のレプリカの中から特定のPodにアクセスするためには、そのPodにユニークなラベルを付与し、そのラベルを選択する新しいServiceを作成します。
  • ほとんどの場合、アプリケーション開発者がnodeIPを使用してノードに直接アクセスする必要はありません。
• Proxy Verbを使用してService、ノード、Podにアクセスする。
  • リモートのServiceにアクセスする前に、APIサーバーによる認証および認可が行われます。 Serviceをインターネットに公開するほど安全ではない場合や、ノードIP上のポートにアクセスしたい場合、またはデバッグ目的で使用します。
  • プロキシは、一部のWebアプリケーションで問題を引き起こす可能性があります。
  • HTTP/HTTPSのみで動作します。
  • 詳細はこちらを参照してください。
• クラスター内のノードまたはPodからアクセスする。
  • Podを起動し、kubectl execを使用してそのPodのシェルに接続します。 そのシェルから、ほかのノード、Pod、Serviceに接続できます。
  • 一部のクラスターは、ノードへのSSHアクセスを許可する場合があります。 その場合、そこからクラスターのServiceにアクセスできる可能性があります。 ただし、これは標準的な方法ではなく、クラスターによっては動作しないことがあります。 ブラウザやほかのツールがインストールされていない場合もあります。 クラスターDNSが動作しないこともあります。

組み込みServiceの検出

通常、kube-systemによってクラスター内で起動されるServiceがいくつか存在します。 これらは、kubectl cluster-infoコマンドを通して一覧表示ができます。

kubectl cluster-info

出力は次のとおりです。

Kubernetes master is running at https://192.0.2.1
elasticsearch-logging is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy
kibana-logging is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/kibana-logging/proxy
kube-dns is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/kube-dns/proxy
grafana is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/monitoring-grafana/proxy
heapster is running at https://192.0.2.1/api/v1/namespaces/kube-system/services/monitoring-heapster/proxy

これは、各Serviceにアクセスするためのproxy-verb URLを示しています。 たとえば、このクラスターでは(Elasticsearchを使用した)クラスター単位のログ収集が有効で、適切な認証情報を渡すことで、https://192.0.2.1/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy/からアクセスできます。 または、たとえば次のようにkubectl proxyを介してhttp://localhost:8080/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy/からアクセスすることも可能です。

APIサーバーのプロキシURLを手動で構築する方法

前述のとおり、ServiceのプロキシURLを取得するにはkubectl cluster-infoコマンドを使用します。 Serviceのエンドポイント、サフィックス、パラメータを含むプロキシURLを作成するには、次の形式でServiceのプロキシURLに追記します。 http://kubernetes_master_address/api/v1/namespaces/namespace_name/services/[https:]service_name[:port_name]/proxy

ポートに名前を指定していない場合、URLにport_nameを指定する必要はありません。 また、名前付きポート、名前なしポートのいずれの場合でも、port_nameの代わりにポート番号を使用することもできます。

デフォルトでは、APIサーバーはHTTPを使用してServiceにプロキシします。 HTTPSを使用する場合は、Service名の前にhttps:を付与します。 http://<kubernetes_master_address>/api/v1/namespaces/<namespace_name>/services/<service_name>/proxy

URLの<service_name>部分では、次の形式がサポートされています。

• <service_name> - HTTPを使用して、デフォルトまたは名前なしのポートにプロキシします
• <service_name>:<port_name> - HTTPを使用して、指定したポート名またはポート番号にプロキシします
• https:<service_name>: - httpsを使用して、デフォルトまたは名前なしのポートにプロキシします(末尾のコロンに注意してください)
• https:<service_name>:<port_name> - httpsを使用して、指定したポート名またはポート番号にプロキシします

例

• Elasticsearchサービスのエンドポイント_search?q=user:kimchyにアクセスするには、次のURLを使用します。

  http://192.0.2.1/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy/_search?q=user:kimchy
  

• Elasticsearchクラスターのヘルス情報_cluster/health?pretty=trueにアクセスするには、次のURLを使用します。

  https://192.0.2.1/api/v1/namespaces/kube-system/services/elasticsearch-logging/proxy/_cluster/health?pretty=true
  

  ヘルス情報は次のような内容です。

  {
    "cluster_name" : "kubernetes_logging",
    "status" : "yellow",
    "timed_out" : false,
    "number_of_nodes" : 1,
    "number_of_data_nodes" : 1,
    "active_primary_shards" : 5,
    "active_shards" : 5,
    "relocating_shards" : 0,
    "initializing_shards" : 0,
    "unassigned_shards" : 5
  }
  

• httpsを経由してElasticsearchサービスのヘルス情報_cluster/health?pretty=trueにアクセスするには、次のURLを使用します。

  https://192.0.2.1/api/v1/namespaces/kube-system/services/https:elasticsearch-logging:/proxy/_cluster/health?pretty=true
  

クラスター内で実行されているサービスにWebブラウザからアクセスする

ブラウザのアドレスバーにAPIサーバーのプロキシURLを直接入力してアクセスできる場合があります。ただし、以下の点に注意してください。

• Webブラウザのアドレスバーは通常トークンを送信できないため、Basic認証(パスワード)を使用する必要があります。 APIサーバーはBasic認証を受け付けるように設定できますが、クラスターがその設定になっていない場合もあります。
• 一部のWebアプリケーションは正しく動作しないことがあります。特に、プロキシのパスプレフィックスを考慮せずにURLを生成するクライアントサイドJavaScriptを使用している場合です。