有没有办法强制对入口负载平衡器上的传入连接进行 SSL 升级？或者，如果这不可能，我可以禁用端口：80 吗？我还没有找到一个很好的文档页面来概述 YAML 文件中的此类选项。提前非常感谢！
【问题讨论】：
标签： ssl kubernetes google-kubernetes-engine kubernetes-ingress
https://github.com/kubernetes/ingress-gce#frontend-https
您可以通过注解 kubernetes.io/ingress.allow-http: "false" 阻止 HTTP 或通过指定自定义后端将 HTTP 重定向到 HTTPS。不幸的是，GCE 还没有直接为您处理 L7 层的重定向或重写。 （见https://github.com/kubernetes/ingress-gce#ingress-cannot-redirect-http-to-https）
更新：GCP now handles redirection rules for load balancers，包括 HTTP 到 HTTPS。似乎还没有通过 Kubernetes YAML 创建这些的方法。
【讨论】：
注释已更改：
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
name: test
annotations:
kubernetes.io/ingress.allow-http: "false"
spec:
...
这里是注解改动PR： https://github.com/kubernetes/contrib/pull/1462/files
【讨论】：
如果您没有绑定到 GCLB 入口控制器，您可以查看Nginx Ingress Controller。该控制器在多个方面与内置控制器不同。首先，您需要自己部署和管理一个。但如果您愿意这样做，您将获得不依赖 GCE LB（20 美元/月）并获得对 IPv6/websockets 的支持的好处。
documentation 声明：
默认情况下，如果为该入口启用了 TLS，控制器会重定向 (301) 到 HTTPS。如果你想全局禁用该行为，你 可以在 NGINX 配置映射中使用
ssl-redirect: "false"。
最近发布的0.9.0-beta.3 附带了一个额外的注释，用于显式执行此重定向：
使用注解
ingress.kubernetes.io/force-ssl-redirect强制重定向到 SSL
【讨论】：
nginx.ingress.kubernetes.io/force-ssl-redirect: "true" 及其工作。完整的注释列表请访问github.com/kubernetes/ingress-nginx/blob/master/docs/user-guide/…
在 Kubernetes 中重定向到 HTTPS 有点复杂。根据我的经验，您可能希望使用诸如 Ambassador 或 ingress-nginx 之类的入口控制器来控制到您的服务的路由，而不是让您的负载均衡器直接路由到您的服务。
假设您使用的是入口控制器，那么：
X-Forwarded-Proto，并相应地发出重定向。这里是 tutorial，关于如何在大使中执行此操作。
【讨论】：
Google 已响应我们的请求，并正在其负载平衡器上测试 HTTP->HTTPS SSL 重定向。 Their latest answer 说它应该在 2020 年 1 月结束之前的某个时间进入 Alpha。
他们的评论：
感谢您在此问题上的耐心等待。该功能目前正在测试中，我们预计将在 1 月底之前进入 Alpha 阶段。随着 Alpha 版发布的临近，我们的 PM 团队将发布更多详细信息。
希望我们能在不久的将来为这个非常常见的功能找到一个简单的解决方案。
更新（2020 年 4 月）：
HTTP(S) 重写现在是 Generally Available 功能。它的边缘仍然有点粗糙，不幸的是，它不适用于 GCE Ingress Controller 开箱即用。但时间会证明一切，希望会出现原生解决方案。
【讨论】：
Unfortunately that will push our Alpha date out a number of weeks.
您可以disable HTTP on your cluster（请注意，您需要重新创建集群才能将此更改应用于负载均衡器），然后通过在同一 IP 地址上创建额外的负载均衡器来set HTTP-to-HTTPS redirect。
我在同一个问题上花了几个小时，最后做了我刚才描述的事情。效果很好。
【讨论】：
为此工作了很长时间。以防有人不清楚上面的帖子。您将使用注释重建您的入口 -- kubernetes.io/ingress.allow-http: "false" -- 然后删除您的入口并重新部署。注释将使入口只为 443 创建一个 LB，而不是 443 和 80。
然后你做一个计算 HTTP LB，而不是 GKE。
GUI 说明： 创建负载均衡器并选择 HTTP(S) 负载均衡 -- 开始配置。
选择 - 从 Internet 到我的虚拟机并继续
为 LB 选择一个名称
将后端配置留空。
在主机和路径规则下，选择高级主机和路径规则并将操作设置为 将客户端重定向到不同的主机/路径。 将主机重定向字段留空。 选择前缀重定向并将路径值留空。 选择重定向响应代码为 308。 勾选启用 HTTPS 重定向框。
对于前端配置，保留 http 和端口 80，对于 ip 地址选择静态 用于您的 GKE 入口的 IP 地址。
创建这个 LB。
您现在将所有 http 流量都转到这里，并且 308 重定向到您的 GKE 的 https 入口。超级简单的配置设置，效果很好。
注意：如果您只是尝试删除 GKE 生成的端口 80 LB（不进行注释更改并重建入口），然后添加新的重定向计算 LB，它确实有效，但您将开始看到错误消息您的 Ingress 说错误 400 字段“resource.ipAddress”的无效值正在使用中，会导致冲突，无效。它正在尝试启动端口 80 LB，但不能，因为您已经在端口 80 上有一个使用相同 IP 的 LB。它确实有效，但错误很烦人，GKE 一直在尝试构建它（我认为）。
【讨论】：
快速更新。 Here
现在可以使用 FrontEndConfig 来配置入口。希望对您有所帮助。
例子：
apiVersion: networking.gke.io/v1beta1
kind: FrontendConfig
metadata:
name: my-frontend-config
spec:
redirectToHttps:
enabled: true
responseCodeName: 301
您需要确保您的负载平衡器支持 HTTP 和 HTTPS
【讨论】：
已通过对已接受答案的评论正确回答了此问题。但是由于评论被埋没了，所以我错过了好几次。
从 GKE 版本 1.18.10-gke.600 开始，您可以添加 k8s 前端配置以从 http 重定向到 https。
https://cloud.google.com/kubernetes-engine/docs/how-to/ingress-features#https_redirect
apiVersion: networking.gke.io/v1beta1
kind: FrontendConfig
metadata:
name: ssl-redirect
spec:
redirectToHttps:
enabled: true
# add below to ingress
# metadata:
# annotations:
# networking.gke.io/v1beta1.FrontendConfig: ssl-redirect
【讨论】：