3

我有一个有状态的 spring 应用程序，我想将它部署到 kubernetes 集群。该应用程序将有多个实例，因此我需要使用 ingress-nginx 控制器启用 sticy 会话。我做了以下配置：

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: ingress-nginx
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/ssl-redirect: "false"
    nginx.ingress.kubernetes.io/affinity: "cookie"
    nginx.ingress.kubernetes.io/session-cookie-name: "JSESSIONID"
    nginx.ingress.kubernetes.io/session-cookie-expires: "172800"
    nginx.ingress.kubernetes.io/session-cookie-max-age: "172800"
    nginx.ingress.kubernetes.io/session-cookie-path: /ingress-test
    # UPDATE THIS LINE ABOVE
spec:
  rules:
     - http:
        paths:
          - path: /ingress-test
            backend:
              serviceName: ingress-test
              servicePort: 31080

如果登录成功，ingress-nginx 将后续请求重定向到正确的 pod。但是，它有时会在 JSESSIONID 更改后切换到其他 pod（JSESSIONID cookie 在成功登录后由 spring-security 更改）并且即使用户凭据正确，前端也会重定向回登录页面。有没有人用 spring-security 尝试过 ingress-nginx ？

最好的祝福

4

3 回答 3

5

以下更改解决了问题。如果规则中没有主机定义，ingress-nginx 不会设置会话 cookie。

有一个未解决的问题：https ://github.com/kubernetes/ingress-nginx/issues/3989

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: ingress-nginx
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/ssl-redirect: "false"
    nginx.ingress.kubernetes.io/affinity: "cookie"
    nginx.ingress.kubernetes.io/session-cookie-name: "route"
    nginx.ingress.kubernetes.io/session-cookie-expires: "172800"
    nginx.ingress.kubernetes.io/session-cookie-max-age: "172800"
    nginx.ingress.kubernetes.io/session-cookie-path: /ingress-test
    # UPDATE THIS LINE ABOVE
spec:
  rules:
     - host: www.domainname.com
       http:
        paths:
          - path: /ingress-test
            backend:
              serviceName: ingress-test
              servicePort: 31080
于 2019-10-30T15:18:22.703 回答
0

spring 更改 cookie 的原因是为了防止会话固定（更多信息可以在这里找到：https ://www.owasp.org/index.php/Session_fixation ）。在您的情况下，您将相同的 cookie 用于 spring 用于会话处理的粘性路由策略。

我建议使用不同的 cookie 名称 - 它将由 nginx 创建，无需使用应用程序使用的 cookie。

于 2019-10-30T14:11:46.190 回答
0

感谢@savas 的洞察力，我确认我的设置（3 个节点）存在问题。这个问题也在这个线程中得到了很好的探索：https ://github.com/kubernetes/ingress-nginx/issues/1980

PS我还通过指定路径实现了负载平衡持久性（即会话亲和性）工作。

于 2022-02-07T19:44:46.953 回答