Kubernetes CRD

Traefik 提供了一些 Kubernetes 自定义资源，例如 IngressRoute、Middleware 等。

使用 KubernetesCRD 作为提供者时，Traefik 通过自定义资源定义获取路由配置。Traefik 自定义资源定义列于下文。

使用 Helm Chart 安装 Traefik 时，默认启用 kubernetesCRD 提供者。

要求¶

不使用 Helm Chart 安装 Traefik，或使用 Helm 升级整个部署栈时，请确保满足以下要求：

• 添加或更新 所有 Traefik 资源定义
• 添加或更新 Traefik 自定义资源的 RBAC

# Install Traefik Resource Definitions:
kubectl apply -f https://raw.githubusercontent.com/traefik/traefik/v3.7/docs/content/reference/dynamic-configuration/kubernetes-crd-definition-v1.yml

# Install RBAC for Traefik:
kubectl apply -f https://raw.githubusercontent.com/traefik/traefik/v3.7/docs/content/reference/dynamic-configuration/kubernetes-crd-rbac.yml

配置示例¶

可以按以下方式启用 kubernetesCRD 提供者：

providers:
  kubernetesCRD: {}

[providers.kubernetesCRD]

--providers.kubernetescrd=true

## Values file
providers:
  kubernetesCRD:
    enabled: true

配置选项¶

endpoint¶

Kubernetes 服务器的端点 URL。

部署到 Kubernetes 中时，Traefik 会读取环境变量 KUBERNETES_SERVICE_HOST 和 KUBERNETES_SERVICE_PORT，或 KUBECONFIG，以构造端点。

访问令牌从 /var/run/secrets/kubernetes.io/serviceaccount/token 读取，SSL CA 证书从 /var/run/secrets/kubernetes.io/serviceaccount/ca.crt 读取。部署在 Kubernetes 内部时，两者都会自动挂载。

可以指定端点，以覆盖集群内环境变量的值。

找不到环境变量时，Traefik 会尝试使用集群外客户端连接 Kubernetes API 服务器。这种情况下必须指定端点。具体而言，可以将其设置为 kubectl proxy 使用的 URL，以使用关联 kubeconfig 授予的身份认证和授权连接 Kubernetes 集群。

providers:
  kubernetesCRD:
    endpoint: "http://localhost:8080"
    # ...

[providers.kubernetesCRD]
  endpoint = "http://localhost:8080"
  # ...

--providers.kubernetesCRD.endpoint=http://localhost:8080

defaultTLSResourcesNamespace¶

名为 default 的 TLSOption 和 TLSStore 在整个集群范围内生效，与其所在命名空间无关：前者保存所有未显式引用 TLSOption 的路由器所采用的 TLS 强制策略，后者保存每个入口点提供的默认证书。此选项允许集群运维人员将这些资源的定义限制在自己控制的命名空间中。

未设置此选项时，无论命名空间是什么，名为 default 的 TLSOption 或 TLSStore 都会被采用；这是默认行为，并且向后兼容。将此选项设置为某个命名空间时，只会采用该命名空间中名为 default 的资源。

providers:
  kubernetesCRD:
    defaultTLSResourcesNamespace: traefik
    # ...

[providers.kubernetesCRD]
  defaultTLSResourcesNamespace = "traefik"
  # ...

--providers.kubernetesCRD.defaultTLSResourcesNamespace=traefik

safeNaming¶

默认情况下，Kubernetes CRD 提供者通过拼接源对象的命名空间与名称，为其构建的路由器、中间件和服务生成名称。这可能使两个不同对象生成相同名称，导致其中一个静默替换另一个。

safeNaming 会改用可避免冲突的命名方式：生成的名称源自其来源对象的标识；由多个父对象引用的 Kubernetes 服务（例如包含多个服务的路由，或 Weighted/Mirroring/HighestRandomWeight TraefikService）则限定在各自父对象范围内，不再按对象标识共享。

启用 safeNaming 后，生成的名称不再进行规范化：各组成部分使用 _ 分隔符连接，而该字符不能出现在 Kubernetes 命名空间或名称中；为路由生成的名称则根据路由索引而非其规则派生。例如，default 命名空间中有一个名为 whoami 的 Kubernetes 服务，以及一个名为 test.route 的 IngressRoute：

default-whoami-80                          ->    default_whoami_80
default-test-route-6b204d94623b3df4370c    ->    default_test.route_0

对于由 TraefikService（加权、镜像或最高随机权重）或含有多个服务的路由引用的 Kubernetes 服务，生成的服务名称以声明该引用的父对象命名，后接引用索引，以及被引用 Kubernetes 服务的命名空间、名称和端口：

default-whoami-80    ->    default_wrr1_wrr_1_default_whoami_80

每个此类引用都携带自己的选项（serversTransport、scheme、sticky、healthCheck 等）。这些选项以前并不包含在生成的名称中：指向同一 Kubernetes 服务但选项不同的两个引用会被合并成一个服务，最后构建的引用会静默覆盖前者。启用 safeNaming 后，它们会成为不同的服务；这也意味着，如果某个 Kubernetes 服务被多个父对象引用，其服务器会针对每个引用分别接受健康检查，而不是所有引用共用一次检查。

providers:
  kubernetesCRD:
    safeNaming: true
    # ...

[providers.kubernetesCRD]
  safeNaming = true
  # ...

--providers.kubernetesCRD.safeNaming=true

路由配置¶

Traefik CRD 是可以按需组合的构建块。

可用的自定义资源如下表所示：

特点¶

• 使用 name 和 namespace 引用其他 Kubernetes 资源。
• 使用 secret 保存敏感数据（TLS 证书和凭据）。

完整示例¶

有关通过 Kubernetes 暴露服务的更多信息，请参阅 Kubernetes 指南。