Contour

標準の Ingress リソースには、チームが多いクラスターで初めて表面化する設計上の欠陥がある。自分の名前空間に Ingress を作れる人なら誰でも、会社のメインドメインの /login を含め、任意のホストの任意のパスを名乗れてしまうのだ。モデルの側にそれを防ぐ仕組みはない。Contour 独自のリソース HTTPProxy は、これに代えて「委任」を導入した。クラスター管理者がドメインのルートを持ち、サブツリーだけを名前空間へ明示的に委任する。受け取った側は委任された範囲の外へ手を出せない。加えて、重み付きトラフィック分割、ヘッダーベースのルーティング、レート制限が、アノテーションの寄せ集めではなく正式なフィールドとして用意されている。データパスは Envoy が担い、再起動なしで動的に設定が反映される。