如何保护kubernetes中的指标，活动性探针和就绪性探针端点

Question

我有一个kubernetes部署，它提供了活跃性，就绪性和指标端点。通过nginx入口和服务，将部署发布到公共网络。

我的问题是保护这些探针端点的最佳方法是什么，以使它们可用于kubernetes和Prometheus，但不适用于群集之外。

处理我发现的问题的可能性是：

• 通过注释向入口配置添加服务器/配置摘要，以阻止访问特定路径
• 在另一个端口上运行探针/端点（对我来说不是一个选择）
• 使用特定的httpHeaders（令牌等）

还有其他解决方案吗？ 有没有解决该问题的最佳实践方法？

谢谢！

Answer 1

一种选择是将 /metrics、liveness 和 readiness 探针端点暴露给集群外部无法访问的不同 HTTP 端口。您只需将集装箱港口映射到外部世界。这是一个例子。 https://github.com/slok/go-http-metrics/blob/master/examples/gorilla/main.go#L53