Kubernetes 中的服务不会通过所有标头

Question

我在公开班有以下服务

apiVersion: v1
kind: Service
metadata:
  annotations:
    getambassador.io/config: |
      ---
      apiVersion: ambassador/v1
      kind: Mapping
      name: _api_minio
      service: "http://minio-svc:9000"
      prefix: /api/minio/
      rewrite: /
      bypass_auth: true
      host: xxxx
      add_response_headers:
        Strict-Transport-Security: max-age=15552000; includeSubDomains
        X-Frame-Options: SAMEORIGIN
  creationTimestamp: '2020-01-09T15:10:34Z'
  labels:
    platform: xxx
  name: minio
  namespace: xxx
  resourceVersion: 'xxxxx'
  selfLink: /api/v1/namespaces/services/minio
  uid: 2f7619a0-32f2-11ea-9dcc-xxxxxxxx
spec:
  clusterIP:xxxxx
  ports:
    - port: 80
      protocol: TCP
      targetPort: 80
  sessionAffinity: None
  type: ClusterIP
status:
  loadBalancer: {}

所以这是一项服务，它将外部请求代理到我们的对象存储的内部 minio，但是一旦我尝试访问我得到的对象的 url：

The request signature we calculated does not match the signature you provided. Check your key and signing method.

上面的服务似乎没有通过浏览器发送的所有标头。 谁能阐明我如何将所有进入服务的标头传递给内部服务，在这种情况下是 minio？

Answer 1

在最基本的配置中，Ambassador 路由基于请求的传入prefix。目前，您已将 Ambassador 配置为将带有 prefix: /api/minio/ 的请求通过端口 9000 和 prefix: / 路由到名为 minio-svc 的服务。

使用此配置，对http(s)://{{IP}}/api/minio/ 的请求将正确命中minio-svc，并将前缀重写为/。但是，如果您检查网络日志，您会看到当 minio 收到带有 prefix: / 的请求时，它会发出 307 重定向到 /minio/，这不是 Ambassador 中的注册路由，这就是您看到失败的原因。

解决此问题的方法是编辑您的 Mapping 以基于 prefix: /minio/ 进行路由，并且在向下游发送请求时不重写该前缀：

apiVersion: v1
kind: Service
metadata:
  annotations:
    getambassador.io/config: |
      ---
      apiVersion: ambassador/v1
      kind: Mapping
      name: _api_minio
      service: "http://minio-svc:9000"
      prefix: /minio/
      rewrite: ""
      bypass_auth: true
      host: xxxx
      add_response_headers:
        Strict-Transport-Security: max-age=15552000; includeSubDomains
        X-Frame-Options: SAMEORIGIN
  creationTimestamp: '2020-01-09T15:10:34Z'
  labels:
    platform: xxx
  name: minio
  namespace: xxx
  resourceVersion: 'xxxxx'
  selfLink: /api/v1/namespaces/services/minio
  uid: 2f7619a0-32f2-11ea-9dcc-xxxxxxxx
spec:
  clusterIP:xxxxx
  ports:
    - port: 80
      protocol: TCP
      targetPort: 80
  sessionAffinity: None
  type: ClusterIP

现在对http(s)://{{IP}}/minio/ 的请求将被发送到端口9000 上的minio-svc 服务，prefix: /minio/ 应该可以解决。

在反向代理后面调试这类较大的 GUI 应用程序时，检查浏览器的网络日志以查看是否有资源请求失败是非常有用的。

Answer 2

大使不应该从请求中删除任何标头，所以我怀疑这是问题所在。您可以通过创建一个 Mapping 来测试这一点，该 Mapping 仅指向一个服务，该服务回显它正在接收的标头。下面可以使用 httpbin.org 完成此操作

---
apiVersion: getambassador.io/v1
kind: Mapping
metadata:
  name: httpbin
spec:
  prefix: /httpbin/
  service: httpbin.org

现在向http(s)://{{LOAD_BALANCER_IP}}/httpbin/headers 发送一个请求，它会使用从请求中收到的所有标头进行响应。您应该会看到您发送的每个标头以及更多标头。

如果不了解您正在访问的服务和预期的标头的更多信息，很难准确地说出这里出了什么问题，因此我将首先验证是否存在标头被丢弃的问题。