使用Helm配置NGINX Ingress限流响应码失败排查

我尝试为NGINX Ingress设置limit-req-status-code，但未能成功。根据官方文档，该配置需放在ConfigMap中（区别于其他限流配置使用注解）。我创建了ConfigMap，但设置未生效——使用fortio测试触发限流时，仍返回503状态码。

我尝试过调整ConfigMap名称，也尝试通过Helm命令手动指定ConfigMap名称，但均无效果。以下是我当前的配置：

ingress-configmap.yaml #

apiVersion: v1
kind: ConfigMap
metadata:
  name: nginx-ingress-config
data:
  limit-req-status-code: "429"

ingress.yaml #

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: {{ include "fullname" . }}-ingress
  labels:
    app.kubernetes.io/name: {{ include "name" . }}
    app.kubernetes.io/instance: {{ .Release.Name }}
    app.kubernetes.io/version: "{{ .Release.Revision }}"
    app.kubernetes.io/managed-by: {{ .Release.Service }}
    helm.sh/chart: {{ .Chart.Name }}-{{ .Chart.Version | replace "+" "_" }}
  annotations:
    nginx.ingress.kubernetes.io/force-ssl-redirect: "true"
    nginx.ingress.kubernetes.io/limit-rpm: "1000"
    nginx.ingress.kubernetes.io/limit-rps: "100"
spec:
  ingressClassName: "nginx-public"
  rules:
    - host: {{ .Values.ingress.host }}
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: {{ include "fullname" . }}-service
                port:
                  name: http

部署命令 #

helm upgrade ${{ inputs.release-name }} ${{ inputs.working-directory }} \
          --install \
          --namespace=${{ inputs.aws-role-name }} \
          --wait \
          --timeout=5m0s \
          --atomic \
          --values=${{ inputs.working-directory }}/values.yaml \
          --values=${{ inputs.working-directory }}/values-${{ inputs.stage-name }}.yaml \
          --set controller.config.name=nginx-ingress-config \
          --set-string deployment.image.registry="${{ secrets.mgmt-aws-account-id }}.dkr.ecr.${{ inputs.mgmt-aws-region }}.amazonaws.com" \
          --set-string deployment.image.repository="${{ inputs.image-name }}" \
          --set-string deployment.image.digest="${{ inputs.image-digest }}" \
          --set-string database.user='${{ steps.fetch-secret-postgres-username.outputs.aws-secret-value }}' \
          --set-string database.password='${{ steps.fetch-secret-postgres-password.outputs.aws-secret-value }}'

请问我哪里操作有误？

以下是几个可能导致配置不生效的原因及对应解决步骤：

1. ConfigMap 命名空间不匹配 #

NGINX Ingress Controller默认读取自身所在命名空间的ConfigMap，而非Ingress资源的命名空间。需确认：

• nginx-ingress-config是否部署在Ingress Controller所在的命名空间（比如默认的ingress-nginx），而非应用的命名空间。
• 若通过Helm指定了Controller的命名空间，要确保ConfigMap也在同一命名空间下。

2. Helm 参数配置错误 #

你使用的--set controller.config.name=nginx-ingress-config参数可能不符合当前Helm Chart的参数结构：

• 对于官方kubernetes/ingress-nginx Chart，正确的参数路径应为controller.config.limit-req-status-code="429"，可直接在Helm部署时设置该值，无需单独创建ConfigMap；若要指定自定义ConfigMap，需确认Chart版本对应的参数键是否正确（部分新版本可能变更了参数路径）。
• 建议查看对应Chart的values.yaml文件，确认ConfigMap相关参数的正确配置方式。

3. Ingress Controller 未加载新ConfigMap #

即使ConfigMap配置正确，Controller Pod需重启才能加载新配置。手动重启命令：

kubectl rollout restart deployment <ingress-controller-deployment-name> -n <controller-namespace>

4. 限流模块触发冲突 #

Ingress注解中的limit-rpm/limit-rps与limit-req-status-code针对的是同一限流模块，但需确认：

• 测试时确实触发了limit-req模块的限流（而非其他限流机制），可查看Controller日志，确认限流触发的具体模块信息。

5. ConfigMap 格式验证 #

检查ConfigMap的实际部署内容是否正确：

kubectl get configmap nginx-ingress-config -n <namespace> -o yaml

确保limit-req-status-code的值为合法的字符串数字，无语法错误。

验证步骤 #

修改配置后，通过以下方式确认生效：

1. 查看Controller日志，确认是否加载了目标配置：

kubectl logs <ingress-controller-pod-name> -n <controller-namespace> | grep "limit-req-status-code"

2. 再次用fortio测试，同时查看日志中的限流触发记录，确认状态码是否正确返回。

内容的提问来源于stack exchange，提问作者Florian Koch