同主机名Nginx Ingress如何实现不同路径差异化TLS客户端认证

• Nginx Ingress Controller对匹配同一域名（Host）的所有Ingress路由会做聚合处理，但Ingress对象metadata层级的注解属于全局作用域，优先级规则为：同一Host下按Ingress创建时间排序，最先创建的Ingress的元注解值，会覆盖同Host下其他Ingress的同名字段。你拆分两个独立Ingress绑定同一Host时，后续创建的ingressB里的auth-tls-verify-client: off注解属于ingressB的对象级配置，不会参与Host级的全局配置计算，自然会被直接忽略。
• 你之前尝试合并Ingress配置失败的核心误区，是误以为TLS相关注解只能全局生效、无法按路径差异化配置，实际上Nginx Ingress支持在全局注解中通过路径匹配规则做单路径的配置覆盖，不需要额外拆分Ingress。

你需要的配置目标非常明确：

• 所有路由共用hosta.com域名的HTTPS证书，全程启用HTTPS加密
• 根路径/保持可选的客户端TLS认证
• 特殊路径/v8/something/abc完全关闭客户端TLS认证

直接把同Host的所有路由合并到单个Ingress对象，通过注解的路径覆盖能力实现差异化配置即可，不需要拆分多个Ingress，参考配置如下：

apiVersion: networking.k8s.io/v1
# 老版本K8s集群可替换回apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  annotations:
    kubernetes.io/ingress.class: nginx
    # 全局配置：指定客户端认证用的CA证书
    nginx.ingress.kubernetes.io/auth-tls-secret: mynamespace/my-ca
    # 注解值格式为：默认值,/路径=覆盖值，实现单路径配置覆盖
    nginx.ingress.kubernetes.io/auth-tls-verify-client: "optional,/v8/something/abc=off"
  name: hosta-app-ingress
  namespace: mynamespace
spec:
  tls:
  - hosts:
    - hosta.com
    secretName: mysecret  # 统一的域名HTTPS证书，所有路径共用
  rules:
  - host: hosta.com
    http:
      paths:
      # 根路径路由，继承全局的可选客户端认证配置
      - backend:
          service:
            name: myservice
            port:
              name: http
        path: /
        pathType: Prefix
      # 特殊路径路由，匹配注解中定义的覆盖规则，关闭客户端认证
      - backend:
          service:
            name: myservice
            port:
              name: http
        path: /v8/something/abc
        pathType: Prefix

• 上述路径注解覆盖的写法，在Nginx Ingress Controller 0.27及以上版本原生支持。如果使用的是更早的版本，需要在对应特殊路径的注解中增加nginx.ingress.kubernetes.io/location-snippet: "auth_tls off;"，直接在Nginx生成的location配置块中手动关闭认证逻辑。
• 注解中定义的覆盖路径，需要和Ingress中声明的path完全匹配，否则规则无法命中。
• 后续所有绑定同一Host的路由，尽量维护在同一个Ingress对象中，避免因注解优先级规则导致配置丢失。

内容的提问来源于stack exchange，提问作者asmoljo