Kubernetes多Ingress资源拆分配置TLS、认证与路由是否可行？

你提出的拆分三份独立Ingress的方案无法实现，不需要将所有配置合并到单个集群级Ingress资源中，可通过以下合理方案满足需求。

• 注解作用域限制：Nginx Ingress Controller的注解仅作用于当前Ingress资源内定义的路由规则，不会跨Ingress资源继承。你定义的jwt-auth-ingress没有配置任何路由规则，nginx.ingress.kubernetes.io/auth-url注解没有生效载体，自然无法作用到应用专属的Ingress规则上。
• TLS配置逻辑限制：Ingress资源的TLS配置仅和当前Ingress内的规则绑定，无规则的Ingress的TLS配置不会被同域名下的其他Ingress自动继承。只有当多个Ingress均定义了同一域名的TLS配置时，Controller才会合并证书引用，不会自动跨Ingress同步TLS配置。

方案1：配置IngressClass全局默认参数（推荐） #

Nginx Ingress Controller支持为IngressClass配置全局默认注解，所有使用该IngressClass的Ingress资源会自动继承配置：

• 全局认证：在IngressClass的参数中添加默认的nginx.ingress.kubernetes.io/auth-url注解，所有应用Ingress无需重复配置即可自动开启JWT认证。
• 全局TLS：给Controller添加--default-ssl-certificate=kube-system/tls_secret启动参数，所有未指定TLS配置的域名自动使用该默认证书完成TLS终止，应用Ingress无需重复编写TLS块。
  如果需要部分应用跳过全局认证，单独给对应应用Ingress添加nginx.ingress.kubernetes.io/auth-url: "off"注解覆盖全局配置即可。

方案2：配置模板封装 #

如果你不想修改集群全局配置，可以通过Kustomize、Helm等配置管理工具做模板封装：

• 把通用的TLS配置、认证注解定义为公共基础模板
• 应用侧仅需要编写路由规则相关的配置，渲染时自动合并公共配置生成完整的Ingress资源
  这种方式维护时不需要重复编写通用配置，最终生效的每个应用Ingress自带完整配置，符合Ingress的工作逻辑。

内容的提问来源于stack exchange，提问作者Santosh