Provisionnement des équilibreurs de charge OCI pour les services Kubernetes de type LoadBalancer

oci.oraclecloud.com/load-balancer-type: "lb"

Notez que lb est la valeur par défaut de l'annotation oci.oraclecloud.com/load-balancer-type. Si vous n'incluez pas explicitement l'annotation dans la définition du service, la valeur par défaut de l'annotation est utilisée.

Par exemple, considérons le fichier de configuration suivant, nginx_lb.yaml. Il définit un déploiement (kind: Deployment) pour l'application nginx, suivi d'une définition de service de type LoadBalancer (type: LoadBalancer) qui équilibre le trafic HTTP sur le port 80 pour l'application nginx.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-nginx
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:latest
        ports:
        - containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: my-nginx-svc
  labels:
    app: nginx
  annotations:
    oci.oraclecloud.com/load-balancer-type: "lb"
spec:
  type: LoadBalancer
  ports:
  - port: 80
  selector:
    app: nginx

La première partie du fichier de configuration définit un déploiement de Nginx, demandant qu'il soit hébergé sur 3 pods exécutant l'image nginx:latest, et qu'il accepte le trafic vers les conteneurs sur le port 80.

La deuxième partie du fichier de configuration définit le service Nginx, qui utilise le type LoadBalancer pour équilibrer le trafic Nginx sur le port 80 entre les pods disponibles.

Pour créer le déploiement et le service définis dans nginx_lb.yaml lorsque vous êtes connecté à votre grappe Kubernetes, entrez la commande suivante :

kubectl apply -f nginx_lb.yaml

Cette commande affiche le résultat suivant lorsque la création du déploiement et de l'équilibreur de charge aboutit :

deployment "my-nginx" created
service "my-nginx-svc" created

L'équilibreur de charge peut rester en attente pendant quelques minutes avant d'être totalement opérationnel. Vous pouvez voir l'état courant de votre grappe en entrant :

kubectl get all

La sortie de la commande ci-dessus montre l'état courant :

NAME                                  READY     STATUS    RESTARTS   AGE
po/my-nginx-431080787-0m4m8           1/1       Running   0          3m
po/my-nginx-431080787-hqqcr           1/1       Running   0          3m
po/my-nginx-431080787-n8125           1/1       Running   0          3m

NAME               CLUSTER-IP      EXTERNAL-IP      PORT(S)        AGE
svc/kubernetes     203.0.113.1     <NONE>           443/TCP        3d
svc/my-nginx-svc   203.0.113.7     192.0.2.22       80:30269/TCP   3m

NAME                      DESIRED   CURRENT   UP-TO-DATE   AVAILABLE   AGE
deploy/my-nginx           3         3         3            3           3m

NAME                            DESIRED   CURRENT   READY     AGE
rs/my-nginx-431080787           3         3         3         3m

Cette sortie indique que le déploiement my-nginx s'exécute sur 3 pods (les entrées po/my-nginx), que l'équilibreur de charge est en cours d'exécution (svc/my-nginx-svc) et qu'il possède une adresse IP externe (192.0.2.22) que les clients peuvent utiliser pour se connecter à l'application déployée sur les pods.

Lorsque vous provisionnez un équilibreur de charge Oracle Cloud Infrastructure (OCI) pour un service Kubernetes de type LoadBalancer, vous pouvez le configurer pour mettre fin au trafic SSL/TLS. Cette configuration, souvent appelée SSL frontal, garantit que le trafic chiffré provenant d'Internet est déchiffré au niveau de l'équilibreur de charge avant d'être transmis aux noeuds de travail.

La mise en oeuvre de l'arrêt SSL au niveau de l'équilibreur de charge décharge le processus de déchiffrement intensif des pods d'application, ce qui simplifie la gestion des certificats et améliore la performance dorsale.

Notez que vous pouvez mettre en oeuvre le chiffrement SSL point à point complet entre les clients et les pods d'application s'exécutant sur les noeuds de travail. Pour ce faire, configurez l'arrêt SSL au niveau de l'équilibreur de charge (comme décrit dans cette section) et mettez également en oeuvre le protocole SSL dorsal entre l'équilibreur de charge et les noeuds de travail (voir Mise en oeuvre du protocole SSL/TLS entre l'équilibreur de charge et les noeuds de travail (SSL dorsal)).

oci.oraclecloud.com/oci-load-balancer-ssl-config: '{"CipherSuiteName":"<cipher-suite-name>", "Protocols":["<tls-version>"]}'

oci.oraclecloud.com/oci-load-balancer-ssl-config: '{"CipherSuiteName":"oci-default-http2-tls-12-13-ssl-cipher-suite-v1", "Protocols":["TLSv1.2", "TLSv1.3"]}'

Lorsque le moteur Kubernetes provisionne un équilibreur de charge pour un service Kubernetes de type LoadBalancer, vous pouvez spécifier que vous voulez mettre en oeuvre SSL entre l'équilibreur de charge et les serveurs dorsaux (noeuds de travail) du jeu dorsal. Cette configuration est appelée SSL dorsal. Pour mettre en oeuvre le protocole SSL dorsal, vous associez un certificat SSL au jeu dorsal de l'équilibreur de charge.

Notez que vous pouvez mettre en oeuvre le chiffrement SSL point à point complet entre les clients et les pods d'application s'exécutant sur les noeuds de travail. Pour ce faire, associez un certificat SSL au jeu dorsal de l'équilibreur de charge (comme décrit dans cette section) et créez également un équilibreur de charge avec terminaison SSL (voir Interruption de SSL/TLS au niveau de l'équilibreur de charge (SSL frontal)).

Alors que la terminaison SSL frontend sécurise la connexion entre le client et l'équilibreur de charge, SSL dorsal sécurise la connexion entre l'équilibreur de charge et les noeuds de travail. Cette configuration garantit que le trafic reste chiffré même lorsqu'il passe par le réseau en nuage virtuel (VCN) interne, fournissant ainsi une couche supplémentaire de défense approfondie.

Lorsque vous mettez en oeuvre SSL dorsal, l'équilibreur de charge déchiffre le trafic entrant à l'aide d'un certificat frontal, effectue les inspections ou le routage de couche 7 nécessaires, puis rechiffre le trafic avant de l'envoyer aux pods de destination. Il s'agit d'une exigence commune pour les environnements à haute sécurité, où le trafic en texte clair est limité à chaque saut.

oci.oraclecloud.com/oci-load-balancer-backendset-ssl-config: '{"CipherSuiteName":"<cipher-suite-name>", "Protocols":["<tls-version>"]}'

oci.oraclecloud.com/oci-load-balancer-backendset-ssl-config: '{"CipherSuiteName":"oci-default-http2-tls-12-13-ssl-cipher-suite-v1", "Protocols":["TLSv1.2", "TLSv1.3"]}'

La forme d'un équilibreur de charge Oracle Cloud Infrastructure indique sa bande passante totale maximale (trafic entrant et sortant). Par défaut, les équilibreurs de charge sont créés avec une forme de 100 Mbits/s. D'autres formes sont disponibles, notamment 400 Mbits/s et 8 000 Mbits/s.

Pour spécifier une autre forme pour un équilibreur de charge, ajoutez l'annotation suivante dans la section de métadonnées du fichier manifeste :

service.beta.kubernetes.io/oci-load-balancer-shape: <value>

où value représente la bande passante de la forme (par exemple, 100 Mbits/s, 400 Mbits/s, 8 000 Mbits/s).

Par exemple :

apiVersion: v1
kind: Service
metadata:
  name: my-nginx-svc
  labels:
    app: nginx
  annotations:
    oci.oraclecloud.com/load-balancer-type: "lb"
    service.beta.kubernetes.io/oci-load-balancer-shape: 400Mbps
spec:
  type: LoadBalancer
  ports:
  - port: 80
  selector:
    app: nginx

Un quota d'équilibreurs de charge suffisant doit être disponible dans la région pour la forme que vous spécifiez. Entrez la commande kubectl suivante pour vérifier que la création de l'équilibreur de charge n'a pas échoué en raison d'un quota insuffisant :

kubectl describe service <service-name>

Notez qu'Oracle recommande de mettre en oeuvre des services Kubernetes de type LoadBalancer en tant qu'équilibreurs de charge flexibles et rentables plutôt qu'en tant qu'équilibreurs de charge à forme fixe (dynamiques) (voir Spécification de formes flexibles d'équilibreur de charge).

La forme d'un équilibreur de charge Oracle Cloud Infrastructure indique sa bande passante totale maximale (trafic entrant et sortant). Comme décrit dans Spécification d'autres formes d'équilibreur de charge, vous pouvez spécifier différentes formes d'équilibreur de charge.

En outre, vous pouvez également spécifier une forme flexible pour un équilibreur de charge d'Oracle Cloud Infrastructure, en définissant une bande passante minimale et maximale pour l'équilibreur de charge.

Pour spécifier une forme flexible pour un équilibreur de charge, ajoutez les annotations suivantes dans la section de métadonnées du fichier manifeste :

service.beta.kubernetes.io/oci-load-balancer-shape: "flexible"
service.beta.kubernetes.io/oci-load-balancer-shape-flex-min: "<min-value>"
service.beta.kubernetes.io/oci-load-balancer-shape-flex-max: "<max-value>"

où :

• "<min-value>" est la bande passante minimale pour l'équilibreur de charge, dans Mbps (par exemple, "10")
• "<max-value>" est la bande passante maximale pour l'équilibreur de charge, dans Mbps (par exemple, "100")

Notez que vous n'indiquez pas d'unité de mesure lorsque vous spécifiez des valeurs de bande passante pour les formes d'équilibreur de charge flexibles (contrairement aux formes prédéfinies). Par exemple, spécifiez la bande passante minimale sous la forme 10, et non 10 Mbits/s.

Par exemple :

apiVersion: v1
kind: Service
metadata:
  name: my-nginx-svc
  labels:
    app: nginx
  annotations:
    oci.oraclecloud.com/load-balancer-type: "lb"
    service.beta.kubernetes.io/oci-load-balancer-shape: "flexible"
    service.beta.kubernetes.io/oci-load-balancer-shape-flex-min: "10"
    service.beta.kubernetes.io/oci-load-balancer-shape-flex-max: "100"
spec:
  type: LoadBalancer
  ports:
  - port: 80
  selector:
    app: nginx

Lors du provisionnement d'un équilibreur de charge Oracle Cloud Infrastructure pour un service Kubernetes de type LoadBalancer, vous pouvez spécifier le délai d'inactivité maximal (en secondes) autorisé entre deux opérations d'envoi ou de réception successives entre le client et les serveurs dorsaux.

Pour spécifier explicitement un délai d'inactivité maximal, ajoutez l'annotation suivante dans la section de métadonnées du fichier manifeste :

service.beta.kubernetes.io/oci-load-balancer-connection-idle-timeout: <value>

où value correspond au nombre de secondes.

Par exemple :

apiVersion: v1
kind: Service
metadata:
  name: my-nginx-svc
  labels:
    app: nginx
  annotations:
    oci.oraclecloud.com/load-balancer-type: "lb"
    service.beta.kubernetes.io/oci-load-balancer-connection-idle-timeout: 100
spec:
  type: LoadBalancer
  ports:
  - port: 80
  selector:
    app: nginx

Notez que si vous ne spécifiez pas explicitement un délai d'inactivité maximal, une valeur par défaut est utilisée. La valeur par défaut dépend du type de module d'écoute :

• pour les modules d'écoute TCP, le délai d'inactivité maximal par défaut est de 300 secondes
• pour les modules d'écoute HTTP, le délai d'inactivité maximal par défaut est de 60 secondes

Lors du provisionnement d'un équilibreur de charge Oracle Cloud Infrastructure pour un service Kubernetes de type LoadBalancer, vous pouvez spécifier le nombre maximal de connexions simultanées que l'équilibreur de charge est autorisé à établir vers des serveurs dorsaux (noeuds de travail) dans le jeu dorsal.

Pour spécifier explicitement le nombre maximal de connexions simultanées autorisées entre l'équilibreur de charge et chaque serveur dorsal individuel du jeu dorsal, ajoutez l'annotation suivante dans la section de métadonnées du fichier manifeste :

oci-load-balancer.oraclecloud.com/backendset-backend-max-connections: "<value>"

où <value> est une valeur valide pour le nombre de connexions autorisées, comme suit :

• Nombre compris entre "256" et "65535" (inclus). Si vous spécifiez un nombre en dehors de cet intervalle (à l'exception de 0), une erreur est retournée.
• "0". Si vous spécifiez 0 comme nombre maximal de connexions autorisées, un nombre illimité de connexions entre l'équilibreur de charge et chaque serveur dorsal individuel du jeu dorsal est autorisé.

Par exemple :

apiVersion: v1
kind: Service
metadata:
  name: nginx-service
  annotations:
    oci-load-balancer.oraclecloud.com/backendset-backend-max-connections: "256"
spec:
  selector:
    app: nginx
  type: LoadBalancer
  ports:
    - name: http
      port: 80
      targetPort: 80

Notez ce qui suit :

• Le nombre que vous spécifiez pour l'annotation est non seulement utilisé comme valeur de la propriété backendMaxConnections du jeu dorsal, mais il est également hérité par chaque serveur dorsal individuel en tant que valeur de sa propriété maxConnections. Par conséquent, le nombre que vous spécifiez est utilisé comme nombre de connexions autorisées entre l'équilibreur de charge et chaque serveur dorsal individuel du jeu dorsal, et non comme nombre total total de connexions autorisées entre l'équilibreur de charge et le jeu dorsal.
• Si vous n'incluez pas l'annotation dans le manifeste (ou supprimez ensuite l'annotation), un nombre infini de connexions entre l'équilibreur de charge et chaque serveur dorsal sont autorisées.
• Pour plus d'informations sur la spécification du nombre maximal de connexions concurrentes au module d'écoute de l'équilibreur de charge autorisées à partir de la même adresse IP d'origine, voir Spécification du nombre maximal de règles de connexion au module d'écoute.

Lorsque Kubernetes Engine provisionne un équilibreur de charge Oracle Cloud Infrastructure pour un service Kubernetes de type LoadBalancer, vous pouvez spécifier le nombre maximal de connexions concurrentes au module d'écoute de l'équilibreur de charge autorisées à partir de la même adresse IP d'origine. Vous utilisez une annotation pour définir une valeur par défaut de nombre maximal de connexions au module d'écoute qui s'applique à toutes les adresses IP. L'annotation définit une règle de connexion maximale au module d'écoute pour l'équilibreur de charge. Si vous ne définissez pas cette valeur maximale par défaut, il n'y a pas de limite au nombre de connexions qu'une adresse IP peut établir au module d'écoute.

Pour plus d'informations sur les règles de connexion au module d'écoute maximum, voir Règles de connexion au module d'écoute maximum dans la documentation sur l'équilibreur de charge OCI.

Pour spécifier le nombre maximal de connexions concurrentes au module d'écoute autorisées à partir de la même adresse IP d'origine, ajoutez l'annotation oci.oraclecloud.com/oci-load-balancer-rule-sets dans la section de métadonnées du fichier manifeste. Notez que vous spécifiez la valeur de l'annotation au format JSON, comme suit :

oci.oraclecloud.com/oci-load-balancer-rule-sets: |
  {
    "<rule-set-name>": {
      "items": [
        {
          "action": "IP_BASED_MAX_CONNECTIONS",
          "maxConnectionsPerIp": <value>
        }
      ]
    }
  }

où :

• <rule-set-name> est le nom de votre choix pour le jeu de règles (entre 1 et 32 caractères de longueur). Par exemple : IpLimitRuleSet .
• <value> est le nombre maximal de connexions simultanées de module d'écoute autorisées à partir de la même adresse IP d'origine.

Par exemple :

apiVersion: v1
kind: Service
metadata:
  name: my-nginx-svc
  labels:
    app: nginx
  annotations:
    oci.oraclecloud.com/load-balancer-type: "lb"
    oci.oraclecloud.com/oci-load-balancer-rule-sets: |
      {
        "IpLimitRuleSet": {
          "items": [
            {
              "action": "IP_BASED_MAX_CONNECTIONS",
              "maxConnectionsPerIp": 20
            }
          ]
        }
      }
spec:
  type: LoadBalancer
  ports:
  - port: 80
  selector:
    app: nginx

Cette configuration crée un jeu de règles de connexion de module d'écoute maximum nommé IpLimitRuleSet qui limite chaque adresse IP d'origine à un maximum de 20 connexions concurrentes.

Pour modifier ultérieurement le nombre maximal de connexions concurrentes, mettez à jour l'annotation oci.oraclecloud.com/oci-load-balancer-rule-sets et appliquez de nouveau le manifeste.

Lorsque le moteur Kubernetes provisionne un équilibreur de charge pour un service Kubernetes de type LoadBalancer, vous pouvez spécifier la taille maximale de l'en-tête HTTP acceptée par les modules d'écoute de l'équilibreur de charge. Vous spécifiez la taille maximale de l'en-tête HTTP à l'aide d'une annotation pour spécifier la taille (en Ko) de la mémoire tampon utilisée pour lire l'en-tête. Les valeurs autorisées pour la taille de la mémoire tampon sont 8, 16, 32 et 64. L'annotation définit une règle d'en-tête HTTP pour l'équilibreur de charge. La règle d'en-tête HTTP s'applique à tous les modules d'écoute de l'équilibreur de charge, sur tous les ports.

Pour plus d'informations sur les règles d'en-tête HTTP, voir Règles d'en-tête HTTP dans la documentation sur l'équilibreur de charge OCI.

Pour spécifier la taille maximale de l'en-tête HTTP acceptée par les modules d'écoute de l'équilibreur de charge, ajoutez l'annotation oci.oraclecloud.com/oci-load-balancer-rule-sets dans la section de métadonnées du fichier manifeste. Notez que vous spécifiez la valeur de l'annotation au format JSON, comme suit :

oci.oraclecloud.com/oci-load-balancer-rule-sets:  |
      {
        "<rule-set-name>": {
          "items": [
            {
              "action": "HTTP_HEADER",
              "httpLargeHeaderSizeInKB": <value>
            }
          ]
        }
      }

où :

• <rule-set-name> est le nom de votre choix pour le jeu de règles (entre 1 et 32 caractères de longueur). Par exemple, header-size.
• <value> est la taille maximale de l'en-tête HTTP dans Ko et est l'une des valeurs suivantes : 8, 16, 32 ou 64.

Par exemple :

apiVersion: v1
kind: Service
metadata:
  name: my-nginx-svc
  labels:
    app: nginx
  annotations:
    oci.oraclecloud.com/load-balancer-type: "lb"
    oci.oraclecloud.com/oci-load-balancer-rule-sets: |
      {
        "header-size": {
          "items": [
            {
              "action": "HTTP_HEADER",
              "httpLargeHeaderSizeInKB": 16
            }
          ]
        }
      }
spec:
  type: LoadBalancer
  ports:
  - port: 80
  selector:
    app: nginx

Pour modifier ultérieurement la taille maximale de l'en-tête HTTP, mettez à jour l'annotation oci.oraclecloud.com/oci-load-balancer-rule-sets et appliquez de nouveau le manifeste.

Lorsque Kubernetes Engine provisionne un équilibreur de charge pour un service Kubernetes de type LoadBalancer, vous pouvez définir le type de trafic accepté par le module d'écoute en spécifiant le protocole sur lequel le module d'écoute accepte les demandes de connexion.

Notez que si vous ne spécifiez pas explicitement un protocole, "TCP" est utilisé par défaut.

Pour spécifier explicitement le protocole du module d'écoute de l'équilibreur de charge lorsque Kubernetes Engine provisionne un équilibreur de charge pour un service Kubernetes de type LoadBalancer, ajoutez l'annotation suivante dans la section de métadonnées du fichier manifeste :

service.beta.kubernetes.io/oci-load-balancer-backend-protocol: <value>

où <value> est le protocole qui définit le type de trafic accepté par le module d'écoute. Par exemple, "HTTP". Les protocoles valides incluent "HTTP", "TCP" et "GRPC".

Par exemple :

apiVersion: v1
kind: Service
metadata:
  name: my-nginx-svc
  labels:
    app: nginx
  annotations:
    oci.oraclecloud.com/load-balancer-type: "lb"
    service.beta.kubernetes.io/oci-load-balancer-backend-protocol: "HTTP"
spec:
  type: LoadBalancer
  ports:
  - port: 80
  selector:
    app: nginx

Notez que si vous spécifiez GRPC comme protocole, vous devez configurer les deux éléments suivants :

• SSL frontal, à l'aide des annotations service.beta.kubernetes.io/oci-load-balancer-ssl-ports, oci.oraclecloud.com/oci-load-balancer-ssl-listener-config et service.beta.kubernetes.io/oci-load-balancer-tls-secret. Pour plus d'informations, voir Interruption de SSL/TLS au niveau de l'équilibreur de charge (SSL frontal).
• SSL dorsal, à l'aide des annotations oci.oraclecloud.com/oci-load-balancer-backendset-ssl-config et service.beta.kubernetes.io/oci-load-balancer-tls-backendset-secret. Pour plus d'informations, voir Mise en oeuvre de SSL/TLS entre l'équilibreur de charge et les noeuds de travail (SSL dorsal).

Par exemple :

apiVersion: v1
kind: Service
metadata:
  name: hello-grpc-service
  annotations:
    oci.oraclecloud.com/load-balancer-type: "lb"
    service.beta.kubernetes.io/oci-load-balancer-ssl-ports: "443"
    service.beta.kubernetes.io/oci-load-balancer-tls-secret: ssl-certificate-secret
    service.beta.kubernetes.io/oci-load-balancer-backend-protocol: "GRPC"
    oci.oraclecloud.com/oci-load-balancer-listener-ssl-config: '{"CipherSuiteName":"oci-default-http2-ssl-cipher-suite-v1", "Protocols":["TLSv1.2"]}'
    oci.oraclecloud.com/oci-load-balancer-backendset-ssl-config: '{"CipherSuiteName":"oci-default-http2-ssl-cipher-suite-v1", "Protocols":["TLSv1.2"]}'
    service.beta.kubernetes.io/oci-load-balancer-tls-backendset-secret: ca-ser-secret
spec:
  type: LoadBalancer
  selector:
    app: hello-grpc
  ports:
    - port: 443
      name: grpc
      targetPort: 50051

Vous pouvez utiliser la fonction de gestion des listes de sécurité pour configurer la façon dont les règles de liste de sécurité sont gérées pour un équilibreur de charge Oracle Cloud Infrastructure que Kubernetes Engine provisionne pour un service Kubernetes de type LoadBalancer. Cette fonctionnalité est utile si vous démarrez avec Kubernetes, ou pour des déploiements de base.

Pour savoir comment la fonction de gestion des listes de sécurité de Kubernetes gère les listes de sécurité lorsque Kubernetes Engine provisionne un équilibreur de charge pour un service Kubernetes de type LoadBalancer, ajoutez l'annotation suivante dans la section de métadonnées du fichier manifeste :

service.beta.kubernetes.io/oci-load-balancer-security-list-management-mode: <value>

où <value> est l'une des valeurs suivantes :

• "None" : (recommandé) La gestion des listes de sécurité n'est pas activée. Vous devez configurer une règle de sécurité autorisant le trafic entrant vers les ports appropriés pour les intervalles de ports de noeuds, le port d'état kube-proxy et les intervalles de ports de vérification de l'état. De plus, vous devez configurer des règles de sécurité pour autoriser le trafic entrant vers les équilibreurs de charge (voir Règles de sécurité pour les équilibreurs de charge et les équilibreurs de charge de réseau).
• "All" : (par défaut) Toutes les règles de liste de sécurité requises pour les services d'équilibreur de charge sont gérées.
• "Frontend" : Seules les règles de liste de sécurité pour le trafic entrant vers l'équilibreur de charge sont gérées. Vous devez configurer une règle de sécurité autorisant le trafic entrant vers les ports appropriés pour les intervalles de ports de noeuds, le port d'état kube-proxy et les intervalles de ports de vérification de l'état.

Oracle recommande de régler explicitement service.beta.kubernetes.io/oci-load-balancer-security-list-management-mode à None.

Dans les grappes avec des noeuds gérés, si vous ne spécifiez pas explicitement un mode de gestion ou si vous spécifiez une valeur non valide, toutes les règles de liste de sécurité sont gérées (équivalent à "All"). Notez que dans ce cas, le moteur Kubernetes crée une règle de sécurité qui autorise le trafic entrant depuis 0.0.0.0/0 (ou depuis les intervalles de ports sources spécifiés dans le fichier manifeste) vers les ports du module d'écoute. Dans les grappes avec des noeuds virtuels, la gestion des listes de sécurité n'est jamais activée et vous devez toujours configurer manuellement des règles de sécurité (équivalent à "None").

Notez que des limites s'appliquent au nombre de règles de trafic entrant et sortant autorisées dans une liste de sécurité (voir Limites de liste de sécurité). Si le nombre de règles de trafic entrant ou sortant dépasse la limite et que <value> est réglé à "All" ou "Frontend", la création ou la mise à jour de l'équilibreur de charge échoue.

Par exemple :

apiVersion: v1
kind: Service
metadata:
  name: my-nginx-svc
  labels:
    app: nginx
  annotations:
    oci.oraclecloud.com/load-balancer-type: "lb"
    service.beta.kubernetes.io/oci-load-balancer-security-list-management-mode: "Frontend"
spec:
  type: LoadBalancer
  ports:
  - port: 80
  selector:
    app: nginx