Gloo Gateway中EC2实例作为上游目标的配置指南

概述

在现代云原生架构中，将AWS EC2实例作为服务后端是常见场景。Gloo Gateway提供了原生支持，可以将EC2实例作为上游(Upstream)目标进行流量路由。本文将详细介绍如何在Gloo Gateway中配置EC2上游，实现灵活的服务路由。

EC2上游配置详解

EC2上游的核心配置通过YAML文件定义，主要包含以下几个关键部分：

apiVersion: gloo.solo.io/v1
kind: Upstream
metadata:
  name: my-ec2-upstream
  namespace: gloo-system
spec:
  awsEc2:
    filters:
    - key: some-key
    - kvPair:
        key: some-other-key
        value: some-value
    region: us-east-1
    publicIp: true
    secretRef:
      name: my-aws-secret
      namespace: default
    roleArn: arn:aws:iam::123456789012:role/describe-ec2-demo

关键配置解析

1. 认证凭证配置：

   • 支持两种凭证提供方式：通过Secret引用或AWS环境变量
   • 可以指定Role ARN，Gloo Gateway会代表上游用户账户承担该角色
   • 生产环境推荐使用IAM角色方式，避免直接存储访问密钥

2. 实例筛选机制：

   • 支持基于标签键(key)或键值对(kvPair)的筛选条件
   • 多个筛选条件之间是"与"关系，实例需满足所有条件才会被纳入上游
   • 筛选条件支持灵活组合，可实现精细化的实例分组

3. 网络配置：

   • publicIp参数控制是否使用实例的公网IP
   • region参数指定EC2实例所在区域

实践配置步骤

准备工作

1. 环境准备：

   • 已部署Gloo Gateway的Kubernetes集群
   • 本地安装glooctl和kubectl工具
   • 拥有适当权限的AWS账户

2. EC2实例准备：

   • 使用Amazon Linux镜像创建实例
   • 安全组开放80端口HTTP访问
   • 为实例添加识别标签，例如：

     aws ec2 create-tags --resources i-1234567890abcdef0 \
       --tags Key=gloo-id,Value=abcde123 \
              Key=gloo-tag,Value=group1 \
              Key=version,Value=v1.2.3
     

3. 部署测试应用：

   • 在实例上运行简单的HTTP响应应用：

     wget https://example.com/echoapp2
     chmod +x echoapp2
     sudo ./echoapp2 --port 80 &
     

   • 验证应用可访问性：

     curl http://<ec2-instance-public-ip>/
     

认证配置方案

方案一：使用Secret存储访问密钥

适用于测试环境，快速配置：

glooctl create secret aws \
  --name gloo-tag-group1 \
  --namespace default \
  --access-key AKIAIOSFODNN7EXAMPLE \
  --secret-key wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

方案二：使用IAM角色（生产推荐）

1. 创建具有EC2描述权限的角色：

   {
       "Version": "2012-10-17",
       "Statement": [{
           "Effect": "Allow",
           "Action": "ec2:DescribeInstances",
           "Resource": "*"
       }]
   }
   

2. 配置角色信任关系：

   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Principal": {
         "AWS": "arn:aws:iam::123456789012:user/my-user"
       },
       "Action": "sts:AssumeRole"
     }]
   }
   

创建EC2上游

定义上游YAML文件：

apiVersion: gloo.solo.io/v1
kind: Upstream
metadata:
  name: ec2-demo-upstream
  namespace: gloo-system
spec:
  awsEc2:
    filters:
    - key: gloo-id
    - kvPair:
        key: gloo-tag
        value: group1
    - kvPair:
        key: version
        value: v1.2.3
    region: us-east-1
    publicIp: true
    secretRef:
      name: gloo-tag-group1
      namespace: default
    roleArn: "arn:aws:iam::123456789012:role/describe-ec2-demo"

应用配置：

kubectl apply -f ec2-demo-upstream.yaml

创建路由规则

将流量路由到EC2上游：

glooctl add route \
  --path-exact /echoapp \
  --dest-name ec2-demo-upstream \
  --prefix-rewrite /

验证路由：

export URL=$(glooctl proxy url)
curl $URL/echoapp

最佳实践与注意事项

1. 安全建议：

   • 生产环境务必使用IAM角色而非直接密钥
   • 为不同环境(dev/staging/prod)创建不同的上游和角色
   • 遵循最小权限原则，仅授予必要的EC2描述权限

2. 性能考虑：

   • 大量EC2实例时，考虑按标签分组管理
   • 跨区域部署时，为每个区域创建独立上游

3. 监控与维护：

   • 监控上游健康状态
   • 定期检查标签策略是否仍符合业务需求

总结

通过Gloo Gateway的EC2上游功能，我们可以将传统EC2实例无缝集成到现代服务网格架构中。本文详细介绍了从实例准备、认证配置到上游创建和路由设置的全流程。这种方案特别适合混合架构场景，既能利用现有EC2资源，又能享受Gloo Gateway提供的流量管理、观测等高级功能。

对于更复杂的场景，Gloo Gateway还支持与AWS Lambda等其他AWS服务的集成，构建完整的无服务器架构解决方案。