IngressClass注解是否应用于Ingress？ALB证书配置异常求助

问题原因 #

AWS ALB Ingress Controller不会读取IngressClass的metadata.annotations中的自定义ALB配置。IngressClass的注解仅支持Kubernetes原生注解（比如ingressclass.kubernetes.io/is-default-class），而ALB控制器专属的alb.ingress.kubernetes.io/开头注解，只能从Ingress资源本身的metadata.annotations中加载，这是控制器的设计逻辑，并非配置错误。

解决办法 #

1. Helm全局值统一管理注解 #

利用Helm的全局配置能力，将通用ALB注解定义在全局values中，所有服务的Ingress模板直接引用，避免重复编写ARN：

# 全局values.yaml示例
global:
  alb:
    annotations:
      alb.ingress.kubernetes.io/certificate-arn: "arn:aws:acm:ap-southeast-2:000045211111:certificate/ee65c0af-044b-4c48-abc6-b4b44d4a3c76"
      alb.ingress.kubernetes.io/listen-ports: '[{"HTTPS":443}]'
      alb.ingress.kubernetes.io/scheme: internet-facing
      alb.ingress.kubernetes.io/target-type: ip
      alb.ingress.kubernetes.io/wafv2-acl-arn: "arn:aws:wafv2:ap-southeast-2:000045211111:regional/webacl/waf-api-regional-1e3042/d495cc4f-b24f-4465-afb4-ae5df32acb56"

在服务的Ingress模板中引用全局值：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    {{- toYaml .Values.global.alb.annotations | nindent 8 }}
    # 服务专属注解可在此追加
spec:
  ingressClassName: alb-default
  # 其他Ingress配置...

2. 用Mutating Admission Webhook自动注入注解 #

部署Mutating Webhook（比如Kyverno），在Ingress资源创建时自动将通用ALB注解注入到Ingress中，实现IngressClass级别的配置复用：

示例Kyverno集群规则（匹配使用默认IngressClass的Ingress）：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: inject-alb-annotations
spec:
  rules:
    - name: inject-default-alb-config
      match:
        any:
          - resources:
              kinds:
                - Ingress
              selector:
                matchExpressions:
                  - key: spec.ingressClassName
                    operator: In
                    values: ["alb-default"]
      mutate:
        patchStrategicMerge:
          metadata:
            annotations:
              alb.ingress.kubernetes.io/certificate-arn: "arn:aws:acm:ap-southeast-2:000045211111:certificate/ee65c0af-044b-4c48-abc6-b4b44d4a3c76"
              alb.ingress.kubernetes.io/listen-ports: '[{"HTTPS":443}]'
              alb.ingress.kubernetes.io/scheme: internet-facing
              alb.ingress.kubernetes.io/target-type: ip
              alb.ingress.kubernetes.io/wafv2-acl-arn: "arn:aws:wafv2:ap-southeast-2:000045211111:regional/webacl/waf-api-regional-1e3042/d495cc4f-b24f-4465-afb4-ae5df32acb56"

3. ALB Controller全局参数（仅部分配置可用） #

ALB Controller支持少量全局默认参数，比如默认SSL证书，可以通过启动参数配置，但仅能解决部分注解的复用问题：

在ALB Controller的Deployment中添加启动参数：

args:
  - --default-ssl-certificate-arn=arn:aws:acm:ap-southeast-2:000045211111:certificate/ee65c0af-044b-4c48-abc6-b4b44d4a3c76
  # 其他默认参数...

注意：该方式仅支持证书、监听端口等少数配置，WAF ARN这类注解没有对应的全局参数，无法通过此方式配置。

内容的提问来源于stack exchange，提问作者Stanislav Hordiyenko