Kiali部署完成后未自动创建ingress资源问题咨询

核心故障原因 #

你提供的Kiali自定义资源(CR)配置存在直接导致Ingress无法生成的显性错误：deployment.ingress配置块下的default: enabled is undefined行未添加注释标识#，属于CRD schema中不存在的非法字段。Kiali Operator解析配置时遇到非法字段会跳过对应配置段的渲染，直接导致Ingress资源不会被创建。
除此之外你的配置还存在几个兼容性问题，会导致Ingress即使生成也无法正常工作：

• 重复配置Ingress类：同时使用了新版class_name字段和已废弃的kubernetes.io/ingress.class注解，部分K8s版本会出现配置冲突
• 配置了已废弃的Nginx注解nginx.ingress.kubernetes.io/secure-backends，新版Nginx Ingress Controller不识别该注解
• 自定义的Ingress规则未配置host字段，部分严格校验模式的Ingress Controller会拒绝该类规则
• 手动指定的后端端口20001未和实际Kiali Service端口做校验，存在端口不匹配风险

修复步骤 #

1. 修正Ingress配置块 #

删除ingress块下的无效字段，替换为以下最小可用配置：

deployment:
    accessible_namespaces: ["**"]
    ingress:
      class_name: "nginx"
      enabled: true
      override_yaml:
        metadata:
          annotations:
            nginx.ingress.kubernetes.io/backend-protocol: "HTTPS"
        spec:
          rules:
          # 如无专属域名可删除host行，适配所有访问域名
          - host: "kiali.your-internal-domain.com"
            http:
              paths:
              - path: "/kiali"
                pathType: Prefix
                backend:
                  service:
                    name: "kiali"
                    port:
                      number: 20001
    instance_name: "kiali"

2. 校验Kiali Service端口匹配性 #

应用新配置前先执行命令确认Kiali服务实际暴露的HTTPS端口和配置一致：

kubectl get svc kiali -n istio-system

如果输出结果中kiali服务的对应端口不是20001，将配置中的端口号替换为实际值即可。

3. 应用配置并验证 #

更新Kiali CR后依次执行以下命令验证结果：

# 检查Kiali CR的事件和状态，确认无配置校验错误
kubectl describe kiali kiali -n istio-system
# 检查istio-system命名空间下Ingress是否生成
kubectl get ingress -n istio-system
# 若未生成，查看Operator日志定位具体解析错误
kubectl logs -n kiali-operator deployment/kiali-operator

其他兜底排查点 #

如果修正配置后仍未生成Ingress，逐一核对以下项：

• 确认Kiali Operator绑定的RBAC角色包含networking.k8s.io/v1版本Ingress资源的创建、更新、删除权限
• 确认Kiali Operator版本和Kiali CR版本匹配，跨大版本（比如从v1.4x升级到v1.7x）CR字段定义存在不兼容变更
• 确认istio-system命名空间没有配置OPA/GateKeeper策略、ResourceQuota限制Ingress资源创建
• 如果你使用的是Kubernetes 1.21之前的版本，需要确认集群是否支持networking.k8s.io/v1版本的Ingress资源，旧版本需要调整CR配置适配networking.k8s.io/v1beta1版本

内容的提问来源于stack exchange，提问作者Chirag Patel