对于 NCP 2.5.0 及更低版本
在 NCP 2.5.0 及更低版本中，将使用正则表达式字符“.”和“*”自动启用所有子路径匹配。例如，路径
/coffee/.*
与后跟零个、一个或多个字符的
/coffee/
匹配，例如与
/coffee/
、
/coffee/a
和
/coffee/b
匹配，但不与
/coffee
、
/coffeecup
或
/coffeecup/a
匹配。
Ingress 规范示例：
kind: Ingress
metadata:
  name: cafe-ingress
spec:
  rules:
  - http:
      paths:
      - path: /coffee/.*    #Matches /coffee/, /coffee/a but NOT /coffee, /coffeecup, etc.
        backend:
          serviceName: coffee-svc
          servicePort: 80
对于 NCP 2.5.1 和更高版本
您可以使用注释
ncp/use-regex
启用或禁用 Ingress
path
（而不是
host
）参数的正则表达式匹配。如果将该注释设置为
false
，将通过执行
equals
匹配来执行精确路径匹配。如果将该注释设置为
true
，将通过向路径添加字符串开头字符 (^) 和字符串结尾字符 ($) 来执行正则表达式匹配，以便整个请求 URI 与模式相匹配。请注意，使用
OR
运算符 (|) 时，请始终使用圆括号指定范围，以使 ^ 和 $ 应用于所有操作数。例如，
path: /(tea|coffee|milk)
。Ingress 规范示例：
kind: Ingress
metadata:
  name: cafe-ingress
  annotations:
    kubernetes.io/ingress.class: "nsx"
    ncp/use-regex: "true"
spec:
  rules:
  - host: cafe.example.com
    http:
      paths:
      - path: /tea/.*
        backend:
          serviceName: tea-svc
          servicePort: 80
在将 NCP 升级到 2.5.1 或更高版本之前更新 Ingress
仅当您的 Ingress 要求使用字符“.”和“*”进行所有子路径匹配时，才需要这样做。
更新 Ingress 以包含注释
ncp/use-regex: true
。
对于所有子路径匹配，如果您具有诸如
/coffee/*
或
/*
之类的路径，请将其更改为
/coffee/.*
和
/.*
。
/coffee/.*
将与
/coffee/
、
/coffee/a
、
/coffee/b
、
/coffee/a/b
等匹配。
/.*
将与
/coffee
、
/tea
、
/coffee/a
等匹配。省略该路径将产生与
path: /.*
相同的行为。

kind: Ingress
metadata:
  name: cafe-ingress
  annotations:
    ingress.kubernetes.io/rewrite-target: /
spec:
  rules:
  - host: cafe.example.com
    http:
      paths:
      - path: /tea
        backend:
          serviceName: tea-svc
          servicePort: 80
      - path: /coffee
        backend:
          serviceName: coffee-svc
          servicePort: 80

kind: Ingress
metadata:
  name: cafe-ingress
  annotations:
    kubernetes.io/ingress.class: "nsx"
    ncp/use-regex: "true"
    #/tea/cup will be rewritten to /cup before sending request to endpoint
    ingress.kubernetes.io/rewrite-target: /$1
spec:
  rules:
  - host: cafe.example.com
    http:
      paths:
      - path: /tea/(.*)
        backend:
          serviceName: tea-svc
          servicePort: 80

如果将该注释设置为
false
，则将为 HTTPS 虚拟服务器创建规则。
如果将该注释设置为
true
或缺少该注释，则将同时为 HTTP 和 HTTPS 虚拟服务器创建规则。请注意，仅当 Ingress 规范中存在 TLS 部分时，才会创建 HTTPS 规则。

如果将该注释设置为
false
，则不会将指向 HTTP 虚拟服务器的入站 HTTP 流量（端口 80）重定向到 HTTPS 虚拟服务器。
如果将该注释设置为
true
，则会将指向 HTTP 虚拟服务器的入站 HTTP 流量（端口 80）重定向到 HTTPS 虚拟服务器（端口 443）。

如果其值为
nsx
，则将由 NCP 处理此 Ingress。如果指定了任何其他值，则 NCP 将忽略此 Ingress。有关详细信息，请参见第三方 Ingress 控制器。

设置后，仅当入站请求的源 IP 包含在此注释中时，才会接受该入站请求。否则，将丢弃流量。

您可以指定 CIDR、IP 地址和 IP 范围的组合。例如，1.1.1.1/24, 2.2.2.2, 3.3.3.3-4.4.4.4。

YAML 示例：

kind: Ingress
metadata:
  name: cafe-ingress
  annotations:
    kubernetes.io/ingress.class: "nsx"
    ncp/whitelist-source-range: "192.168.128.0/17, 192.168.64.0-192.168.64.255, 192.168.16.32"
spec:
  tls:
  - hosts:
    - cafe.example.com
  rules:
  - host: cafe.example.com
    http:
      paths:
      - path: /tea
        backend:
          serviceName: tea-svc
          servicePort: 80

此注释适用于 Ingress 中的所有规则，并且负载均衡器将在为这些规则选定的 SSL 模式下运行。
注意：如果
ncp/ssl-mode
设置为
reencrypt
或
passthrough
，必须将
kubernetes.io/ingress.allow-http
设置为
False
。如果已设置
ingress.kubernetes.io/rewrite-target
、
ncp/use-regex
或
ncp/whitelist-source-range
注释，则无法将此注释设置为
passthrough
。

要为 Ingress 下的所有规则启用 JWT 客户端身份验证，需要同时为
ncp/jwt-alg
和
ncp/jwt-secret
设置有效的值。如果启用，则只有在具有有效的 JSON Web 令牌时，才会将入站 HTTP 流量传递到后端。否则，流量将被拒绝，并显示 401 状态。
此功能与以下注释不兼容：
kubernetes.io/ingress.allow-http: true
ncp/http-redirect: true
ncp/ssl-mode: passthrough
ncp/jwt-alg
：
支持的对称算法：HS256
支持的非对称算法：RS256
ncp/jwt-secret
：
对称密钥或公共证书必须在 Kubernetes 密钥中配置，并且在此注释中指定的名称必须与 Ingress 位于相同的命名空间中。
对于对称算法，必须将密钥存储在
jwt.key
字段中。
对于非对称算法，必须将公共证书存储在
tls.crt
字段中。
如果对称密钥或公共证书未存储在上述位置中，或者如果存储在密钥中的数据无效，将禁用 JWT 客户端身份验证。
ncp/jwt-token
：
只能在此注释中配置一个项目。
_arg_<param_name>
：用于作为 URI 参数传入的 JWT。指定包含 JWT 的参数名称。
_cookie_<cookie_name>
：用于作为 Cookie 传入的 JWT。指定包含 JWT 的 Cookie 名称。