Ingress NGINX wird nicht mehr gepflegt: So migrierst du auf die Gateway API

kubectl get ingress -A -o json > ingress-bestand.json

# Wie viele Objekte sind es ueberhaupt?
jq -r '.items[] | "\(.metadata.namespace)/\(.metadata.name)"' ingress-bestand.json | wc -l

# Welche nginx-Annotationen kommen wie oft vor?
jq -r '.items[].metadata.annotations // {} | keys[]' ingress-bestand.json \
  | grep '^nginx.ingress.kubernetes.io/' | sort | uniq -c | sort -rn

# Die teuren Faelle zuerst: frei eingefuegte Konfigurationsschnipsel
jq -r '.items[]
  | select(.metadata.annotations["nginx.ingress.kubernetes.io/configuration-snippet"]
        or .metadata.annotations["nginx.ingress.kubernetes.io/server-snippet"])
  | "\(.metadata.namespace)/\(.metadata.name)"' ingress-bestand.json

# CRDs des Standardkanals einspielen
kubectl apply -f https://github.com/kubernetes-sigs/gateway-api/releases/download/v1.5.0/standard-install.yaml
kubectl get crd | grep gateway.networking.k8s.io

# Envoy Gateway als Implementierung, Version bewusst festnageln
helm install eg oci://docker.io/envoyproxy/gateway-helm \
  --version <geprueft-und-eingetragen> \
  -n envoy-gateway-system --create-namespace
kubectl -n envoy-gateway-system rollout status deploy/envoy-gateway

# Welche GatewayClass steht jetzt bereit?
kubectl get gatewayclass

go install github.com/kubernetes-sigs/ingress2gateway@latest

# Trockenlauf gegen den laufenden Cluster, ein Namespace nach dem anderen
ingress2gateway print --namespace shop --providers ingress-nginx > shop-gateway.yaml

# Alternativ gegen die vorher gesicherte Datei
ingress2gateway print --input-file ingress-bestand.yaml --providers ingress-nginx

# Ergebnis pruefen, bevor irgendetwas angewendet wird
grep -c 'kind: HTTPRoute' shop-gateway.yaml
kubectl apply --dry-run=server -f shop-gateway.yaml

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: extern
  namespace: gateway-infra
spec:
  gatewayClassName: envoy
  listeners:
    - name: https
      protocol: HTTPS
      port: 443
      hostname: "*.example.de"
      tls:
        mode: Terminate
        certificateRefs:
          - kind: Secret
            name: wildcard-example-de
      allowedRoutes:
        namespaces:
          from: Selector
          selector:
            matchLabels:
              gateway-zugriff: "ja"
---
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: shop
  namespace: shop
spec:
  parentRefs:
    - name: extern
      namespace: gateway-infra
  hostnames:
    - shop.example.de
  rules:
    - matches:
        - path:
            type: PathPrefix
            value: /api
      filters:
        - type: URLRewrite
          urlRewrite:
            path:
              type: ReplacePrefixMatch
              replacePrefixMatch: /
      backendRefs:
        - name: shop-api
          port: 8080

# Status der neuen Objekte, das ist die Wahrheit
kubectl -n gateway-infra get gateway extern -o jsonpath='{.status.conditions[*].type}{"\n"}'
kubectl -n shop get httproute shop -o jsonpath='{.status.parents[*].conditions[*].reason}{"\n"}'

# Zugriffe im neuen Datenpfad mitlesen
kubectl -n envoy-gateway-system logs -f --tail=50 \
  -l gateway.envoyproxy.io/owning-gateway-name=extern

# Serverfehler alt gegen neu, gleiches Zeitfenster
kubectl -n ingress-nginx logs --since=1h -l app.kubernetes.io/name=ingress-nginx | grep -c ' 5[0-9][0-9] '

# Erst wenn beides ruhig ist: alten Controller entfernen
kubectl get ingress -A          # sollte leer sein
helm -n ingress-nginx uninstall ingress-nginx