GKE：身份感知代理>L7负载平衡器>自定义主机和路径规则>错误代码11

Question

我正在使用GKE身份感知代理

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: basic-ingress
  annotations:
    kubernetes.io/ingress.global-static-ip-name: "my-static-ip"
spec:
  rules:
  - host: my.custom.org
    http:
      paths:
      - path: /v1/*
        backend:
          serviceName: webv1
          servicePort: 8080
      - path: /v3/*
        backend:
          serviceName: webv3
          servicePort: 8080
      - path: /nginx/*
        backend:
          serviceName: nginx
          servicePort: 80
      - path: /*
        backend:
          serviceName: nginx
          servicePort: 80

路径/和/nginx/工作正常。/v2/和/v3/抛出您的请求有问题。错误代码11。

如果我禁用IAP，一切正常。

环境：

>

云提供商或硬件配置：GKE

正在使用入口设置HTTP负载平衡@https://cloud.google.com/kubernetes-engine/docs/tutorials/http-balancer

为GKE启用云IAP@https://cloud.google.com/iap/docs/enabling-kubernetes-howto

Answer 1

此错误代码11与OAuth客户端ID1的错误配置有关。

我看到失败的那个正在使用不同的服务端口。如果您从两个不同的后端提供以下2个URL，这两个后端都可能启用了IAP，但配置了不同的clientIds。

截至目前，GCP不支持不同路径的不同clientId，IAP正在努力跨电子商务服务使用单个clientId。目前，如果您可以验证clientId，如果它们不同，则将其更改为单个clientId，那么这就行了。

建议的方法是设置NGINX代理。ingress IAP只需要处理一个服务，而不是两个，它将像一个魔咒一样工作。