AWS Load Balancer Controller 在 Fargate 环境下的目标组注册问题解析

问题背景

在使用 AWS Load Balancer Controller 为 EKS Fargate 集群创建 Application Load Balancer (ALB) 时，开发者可能会遇到目标组(Target Group)中没有注册任何目标的问题。这是一个典型的配置问题，特别是在纯 Fargate 环境中部署时更容易出现。

关键问题分析

在 Fargate 环境中，由于没有传统的工作节点(Worker Node)，ALB 控制器需要使用 IP 模式(target-type: ip)而不是实例模式来注册目标。当目标组为空时，通常表明控制器无法发现或关联到正确的 Pod。

常见原因及解决方案

1. 服务选择器(Selector)不匹配

这是最常见的问题根源。在 Kubernetes 中，Service 通过 selector 字段选择要关联的 Pod。如果 selector 与 Pod 的标签不匹配，Service 将无法找到任何后端 Pod。

错误配置示例:

# Deployment 中的 Pod 标签
labels:
  app: test-pod

# Service 中的 selector
selector:
  app: test-service  # 不匹配

正确配置:

# Deployment 中的 Pod 标签和 selector
labels:
  app: test
selector:
  matchLabels:
    app: test

# Service 中的 selector
selector:
  app: test  # 必须与 Pod 标签一致

2. Fargate 特定配置

在 Fargate 环境中，必须确保以下配置正确：

alb.ingress.kubernetes.io/target-type: ip

这个注解告诉 ALB 控制器使用 Pod IP 而不是节点 IP 来注册目标，因为 Fargate 没有传统意义上的工作节点。

3. 安全组配置

Fargate 环境需要特别注意安全组配置：

alb.ingress.kubernetes.io/security-groups: sg-xxxxxxxxxxxxx
alb.ingress.kubernetes.io/manage-backend-security-group-rules: 'true'

这些注解确保:

1. ALB 使用正确的安全组
2. 控制器自动管理后端安全组规则，允许 ALB 访问 Pod

4. 健康检查路径

确保为 ALB 配置了正确的健康检查路径：

alb.ingress.kubernetes.io/healthcheck-path: /healthz

完整正确配置示例

以下是一个在 Fargate 环境中工作的完整配置示例：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: test-deployment
  labels:
    app: test
spec:
  selector:
    matchLabels:
      app: test
  template:
    metadata:
      labels:
        app: test
    spec:
      containers:
        - name: test-container
          image: test-image
          ports:
            - containerPort: 80

---

apiVersion: v1
kind: Service
metadata:
  name: test-service
spec:
  type: NodePort
  selector:
    app: test
  ports:
    - port: 80
      targetPort: 80

---

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: test-ingress
  annotations:
    alb.ingress.kubernetes.io/scheme: internal
    alb.ingress.kubernetes.io/target-type: ip
    alb.ingress.kubernetes.io/healthcheck-path: /healthz
    alb.ingress.kubernetes.io/security-groups: sg-xxxxxxxxxxxxx
    alb.ingress.kubernetes.io/manage-backend-security-group-rules: 'true'
spec:
  ingressClassName: alb
  rules:
    - http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: test-service
                port:
                  number: 80

排查步骤

1. 验证 Service 是否选择了正确的 Pod:

   kubectl get endpoints <service-name>
   

   应该显示 Pod 的 IP 地址列表

2. 检查 TargetGroupBinding 资源:

   kubectl get targetgroupbindings -o yaml
   

   确认其中引用了正确的 Service 和端口

3. 查看 ALB 控制器日志:

   kubectl logs -n kube-system <alb-controller-pod>
   

   查找与目标组注册相关的错误或警告

总结

在 Fargate 环境中使用 AWS Load Balancer Controller 时，确保以下关键点：

1. Service 的 selector 必须与 Pod 标签精确匹配
2. 必须使用 target-type: ip 注解
3. 正确配置安全组规则
4. 验证健康检查路径是否可达

通过仔细检查这些配置项，可以解决大多数目标组注册问题，使 ALB 能够正确路由流量到 Fargate Pod。