AWS EKSonFargateをcubectlで作成する際のingressへのcloudFront以外からのアクセス制限について

Question

eksctlとkubectlを利用して作成したクラスターへのアクセスに
ingressALBを利用しています。
このALBへのアクセスはcloudFrontのみからに制限したいのですが、ingressの定義ファイルの記載の方法が調べてもよくわからず困っています
今は以下のような定義です

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: "ingress"
  namespace: "default"
  annotations:
    kubernetes.io/ingress.class: alb
    alb.ingress.kubernetes.io/scheme: internet-facing
  labels:
    app: "ingress"
spec:
  rules:
    - http:
        paths:
        - path: /*
          backend:
            serviceName: "service"
            servicePort: 80

どなたかご存知でしたらご教示ください

Answer 1

Fargateに限らずALBをIngressとして使う場合の作法に関する質問ですかね。

ALB Ingress Controllerは数ヶ月前に名前が変わって「AWS LoadBalancer Controller」になったのですが、このときに新しくTargetGroup Bindingというカスタムリソースが使えるようになりました。今回のケースですとこちらが適切なユースケースのように思います。

https://kubernetes-sigs.github.io/aws-load-balancer-controller/latest/guide/targetgroupbinding/targetgroupbinding/

このカスタムコントローラーを使ってIngressとALBを直接作成する場合、細かい設定が入れられなかったり他のリソースとの連携を取るのが難しいことが以前から指摘されていたのですが、こちらのTGBを用いると、CloudFormationなどを用いて作ったALBリソースに対してTargetGroupを設定できるようになります。

つまり、「CloudFrontとSecurity GroupとALBをCloudFormationで設定する」という作業を行ったあとに既存のALBに対してTGBをアタッチすることで、目的の動作が実現できると思います。