Kubernetesネットワーキングの終焉と復活：2026年3月までに必ず知るべき5つの変化

  ┌─────────────────────────────────────────────────────────────────┐
  │                    2026年Kubernetesネットワーキング移行ロードマップ │
  ├──────────┬──────────┬──────────┬──────────┬──────────┬──────────┤
  │ 2025.03  │ 2025.11  │ 2026.03  │ 2026.06  │ 2026.11  │ 2027+   │
  │          │          │          │          │          │          │
  │ Ingress  │ リタイア │ ■ EOL ■  │ Gateway  │ AKS/GKE  │ Ingress │
  │ Nightmare│ 公式     │ セキュリ │ API v1.5 │ 延長サポ │ API     │
  │ CVE 発生 │ 発表     │ ティパッ │ (予想)   │ ート終了 │ 残存    │
  │          │          │ チ完全終 │          │          │ 可能性↓ │
  │ GW API   │ GW API   │ 了       │          │          │          │
  │ v1.2     │ v1.4 GA  │          │          │          │          │
  └──────────┴──────────┴──────────┴──────────┴──────────┴──────────┘
         ▲                    ▲                    ▲
         │                    │                    │
    CVE-2025-1974        コミュニティ支援      クラウドベンダー
    CVSS 9.8             完全終了             延長サポート終了

  ┌─────────────────────────────────────────────────────────┐
  │                  リタイア範囲の明確化                      │
  │                                                         │
  │  ✗ リタイア対象:  kubernetes/ingress-nginx コントローラー  │
  │               (コミュニティメンテナンスプロジェクト)       │
  │                                                         │
  │  ✓ 維持対象:  Ingress API (networking.k8s.io/v1)        │
  │               F5 NGINX Ingress Controller (商用)         │
  │               その他サードパーティIngress実装体            │
  │                                                         │
  │  ★ 新標準:   Gateway API (gateway.networking.k8s.io)    │
  └─────────────────────────────────────────────────────────┘

  攻撃者 (Podネットワークアクセス可能)
       │
       ▼
  ┌──────────────────────────┐
  │  Admission Webhook       │  ← 認証なしでアクセス可能
  │  (8443ポート)            │
  └──────────┬───────────────┘
             │ 悪意のあるIngressオブジェクト送信
             ▼
  ┌──────────────────────────┐
  │  NGINX設定注入            │  ← 任意のNGINX directive挿入
  │  (CVE-2025-1097/1098/    │
  │   24514活用)             │
  └──────────┬───────────────┘
             │ 操作された設定でRCE達成
             ▼
  ┌──────────────────────────┐
  │  コントローラーPod掌握    │  ← CVE-2025-1974
  │  (CVSS 9.8)             │
  └──────────┬───────────────┘
             │ ServiceAccountトークン窃取
             ▼
  ┌──────────────────────────┐
  │  全クラスターシークレット │  ← 全ネームスペースの
  │  アクセスおよびクラスター │     Secret閲覧可能
  │  乗っ取り                │
  └──────────────────────────┘

# このタイプミスを発見できるだろうか？
metadata:
  annotations:
    # タイプミス: "rewrite-target" → "rewrite-traget"
    nginx.ingress.kubernetes.io/rewrite-traget: /$2
    # 型エラー: 数値であるべきだが文字列を渡している
    nginx.ingress.kubernetes.io/proxy-read-timeout: 'sixhundred'
    # 不正なprefix: "nginx.ingress.kubernetes.io" → "nginx.kubernetes.io"
    nginx.kubernetes.io/ssl-redirect: 'true'

# ingress-nginx専用
nginx.ingress.kubernetes.io/canary: 'true'
nginx.ingress.kubernetes.io/canary-weight: '20'

# Traefik専用
traefik.ingress.kubernetes.io/router.middlewares: default-rate-limit@kubernetescrd

# HAProxy専用
haproxy.org/rate-limit-requests: '100'

# AWS ALB専用
alb.ingress.kubernetes.io/target-type: ip

# 危険：任意のNGINX設定注入可能
metadata:
  annotations:
    nginx.ingress.kubernetes.io/configuration-snippet: |
      # 正常な使用意図：カスタムヘッダー追加
      more_set_headers "X-Custom-Header: value";

      # 悪意のある活用：サーバー情報窃取
      # proxy_pass http://internal-service.kube-system.svc.cluster.local;

      # 悪意のある活用：認証バイパス
      # satisfy any;
      # allow all;

# Ingress方式：アノテーションに依存
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-app
  annotations:
    nginx.ingress.kubernetes.io/ssl-redirect: 'true'
    nginx.ingress.kubernetes.io/rewrite-target: /$2
    nginx.ingress.kubernetes.io/proxy-read-timeout: '600'
    nginx.ingress.kubernetes.io/proxy-send-timeout: '600'
    nginx.ingress.kubernetes.io/proxy-body-size: '100m'
    nginx.ingress.kubernetes.io/cors-allow-origin: 'https://example.com'
    nginx.ingress.kubernetes.io/cors-allow-methods: 'GET, POST, PUT'
    nginx.ingress.kubernetes.io/cors-allow-headers: 'Content-Type, Authorization'
    nginx.ingress.kubernetes.io/enable-cors: 'true'
    nginx.ingress.kubernetes.io/limit-rps: '100'
    nginx.ingress.kubernetes.io/canary: 'true'
    nginx.ingress.kubernetes.io/canary-weight: '20'
spec:
  ingressClassName: nginx
  tls:
    - hosts:
        - app.example.com
      secretName: app-tls
  rules:
    - host: app.example.com
      http:
        paths:
          - path: /api(/|$)(.*)
            pathType: ImplementationSpecific
            backend:
              service:
                name: api-service
                port:
                  number: 80

# Gateway API方式：構造化されたスペック
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: my-app
spec:
  parentRefs:
    - name: production-gateway
  hostnames:
    - app.example.com
  rules:
    # ルール1：HTTPSリダイレクト（アノテーションなしでスペックで表現）
    - filters:
        - type: RequestRedirect
          requestRedirect:
            scheme: https
            statusCode: 301
      matches:
        - headers:
            - name: X-Forwarded-Proto
              value: http
    # ルール2：APIルーティング
    - matches:
        - path:
            type: PathPrefix
            value: /api
      filters:
        - type: URLRewrite
          urlRewrite:
            path:
              type: ReplacePrefixMatch
              replacePrefixMatch: /
      backendRefs:
        - name: api-service
          port: 80
          weight: 80
        - name: api-service-canary
          port: 80
          weight: 20

# タイムアウトポリシー：別のリソースとして管理
apiVersion: gateway.networking.k8s.io/v1alpha2
kind: BackendLBPolicy
metadata:
  name: api-timeout-policy
spec:
  targetRefs:
    - group: ''
      kind: Service
      name: api-service
  sessionPersistence:
    sessionName: my-session
    type: Cookie
---
# TLSポリシー：バックエンドTLS設定を別リソースに分離
apiVersion: gateway.networking.k8s.io/v1alpha3
kind: BackendTLSPolicy
metadata:
  name: api-backend-tls
spec:
  targetRefs:
    - group: ''
      kind: Service
      name: api-service
  validation:
    caCertificateRefs:
      - name: backend-ca-cert
        group: ''
        kind: ConfigMap
    hostname: api-internal.example.com

# Ingress：インフラとアプリケーション設定が混在
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-app
  # 誰がこのアノテーションを管理するのか？インフラチーム？開発チーム？
  annotations:
    nginx.ingress.kubernetes.io/ssl-redirect: 'true' # インフラ関心事
    nginx.ingress.kubernetes.io/proxy-body-size: '50m' # インフラ関心事
    nginx.ingress.kubernetes.io/rewrite-target: /$1 # アプリケーション関心事
    nginx.ingress.kubernetes.io/canary-weight: '10' # アプリケーション関心事
spec:
  ingressClassName: nginx # インフラ関心事
  tls:
    - hosts:
        - app.example.com
      secretName: production-tls-cert # インフラ関心事（シークレット管理）
  rules:
    - host: app.example.com # 混合関心事
      http:
        paths:
          - path: /api/(.*) # アプリケーション関心事
            pathType: ImplementationSpecific
            backend:
              service:
                name: api-service # アプリケーション関心事
                port:
                  number: 80

  ┌─────────────────────────────────────────────────────────────┐
  │  Layer 1: GatewayClass                                      │
  │  ─────────────────────                                      │
  │  担当: Infrastructure Provider (クラウドベンダー、プラットフォームチーム) │
  │  役割: データプレーン実装体の定義                              │
  │  例: "nginx", "envoy", "gke-l7-global"                     │
  │  RBAC: cluster-adminレベル                                   │
  ├─────────────────────────────────────────────────────────────┤
  │  Layer 2: Gateway                                           │
  │  ─────────────────                                          │
  │  担当: Cluster Operator (プラットフォーム/インフラエンジニア)  │
  │  役割: リスナー、TLS、IPアドレス、ポート、許可ネームスペース設定 │
  │  例: 443ポートHTTPSリスナー、ワイルドカード証明書              │
  │  RBAC: namespace-adminレベル（インフラネームスペース）         │
  ├─────────────────────────────────────────────────────────────┤
  │  Layer 3: HTTPRoute / GRPCRoute / TCPRoute                  │
  │  ───────────────────────────────────────────                 │
  │  担当: Application Developer (サービス開発者)                │
  │  役割: ルーティングルール、バックエンドサービスマッピング、トラフィックウェイト │
  │  例: /api → api-service、カナリー20%                        │
  │  RBAC: namespace-editorレベル（アプリケーションネームスペース） │
  └─────────────────────────────────────────────────────────────┘

# インフラプロバイダーが定義するGatewayClass
apiVersion: gateway.networking.k8s.io/v1
kind: GatewayClass
metadata:
  name: nginx-gateway-fabric
spec:
  controllerName: gateway.nginx.org/nginx-gateway-controller
  parametersRef:
    group: gateway.nginx.org
    kind: NginxProxy
    name: production-proxy-config

# クラスターオペレーターが管理するGateway
apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: production-gateway
  namespace: gateway-infra # インフラ専用ネームスペース
spec:
  gatewayClassName: nginx-gateway-fabric
  listeners:
    - name: https
      protocol: HTTPS
      port: 443
      tls:
        mode: Terminate
        certificateRefs:
          - name: wildcard-tls-cert
            kind: Secret
      allowedRoutes:
        namespaces:
          from: Selector
          selector:
            matchLabels:
              gateway-access: 'true' # 許可されたネームスペースのみ
    - name: http
      protocol: HTTP
      port: 80
      allowedRoutes:
        namespaces:
          from: Same
---
# クロスネームスペース参照許可
apiVersion: gateway.networking.k8s.io/v1beta1
kind: ReferenceGrant
metadata:
  name: allow-gateway-to-app-secrets
  namespace: app-team-a
spec:
  from:
    - group: gateway.networking.k8s.io
      kind: Gateway
      namespace: gateway-infra
  to:
    - group: ''
      kind: Service

# 開発者が自分のネームスペースで管理するHTTPRoute
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: api-routes
  namespace: app-team-a # アプリケーションネームスペース
spec:
  parentRefs:
    - name: production-gateway
      namespace: gateway-infra # インフラネームスペースのGateway参照
      sectionName: https
  hostnames:
    - api.example.com
  rules:
    - matches:
        - path:
            type: PathPrefix
            value: /v1
      backendRefs:
        - name: api-v1
          port: 8080
          weight: 80
        - name: api-v2
          port: 8080
          weight: 20 # カナリーデプロイ：20%のトラフィックをv2へ

# 開発者用Role：HTTPRouteのみ作成/修正可能
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: route-editor
  namespace: app-team-a
rules:
  - apiGroups: ['gateway.networking.k8s.io']
    resources: ['httproutes', 'grpcroutes']
    verbs: ['get', 'list', 'watch', 'create', 'update', 'patch', 'delete']
  - apiGroups: ['gateway.networking.k8s.io']
    resources: ['gateways']
    verbs: ['get', 'list'] # Gatewayは閲覧のみ可能
---
# インフラオペレーター用Role：Gateway管理可能、Route作成不可
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: gateway-admin
  namespace: gateway-infra
rules:
  - apiGroups: ['gateway.networking.k8s.io']
    resources: ['gateways', 'referencegrants']
    verbs: ['get', 'list', 'watch', 'create', 'update', 'patch', 'delete']
  - apiGroups: ['']
    resources: ['secrets']
    verbs: ['get', 'list', 'watch', 'create', 'update']

  ┌─────────────────────────────────────────────────────────────┐
  │                  Ingress APIのポータビリティ限界              │
  │                                                             │
  │  Ingress spec (標準)         アノテーション (非標準)          │
  │  ┌───────────────────┐   ┌──────────────────────────────┐   │
  │  │ host: app.com     │   │ nginx.ingress.k8s.io/...     │   │
  │  │ path: /api        │   │ traefik.ingress.k8s.io/...   │   │
  │  │ tls: cert         │   │ alb.ingress.k8s.io/...       │   │
  │  │                   │   │ haproxy.org/...               │   │
  │  │ (ポータブル)       │   │ (ポータブルでない - ベンダー依存) │   │
  │  └───────────────────┘   └──────────────────────────────┘   │
  │         20%                        80%                      │
  │    実際の設定の20%のみが       残り80%はベンダー固有          │
  │    ポータブル                 アノテーションに依存            │
  └─────────────────────────────────────────────────────────────┘

# このHTTPRouteはどのGateway API実装でも同一に動作する
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: portable-route
spec:
  parentRefs:
    - name: my-gateway
  hostnames:
    - app.example.com
  rules:
    - matches:
        - path:
            type: PathPrefix # Core：パスマッチング
            value: /api
        - headers: # Core：ヘッダーマッチング
            - name: X-Version
              value: v2
      filters:
        - type: RequestHeaderModifier # Core：ヘッダー操作
          requestHeaderModifier:
            add:
              - name: X-Gateway
                value: production
      backendRefs:
        - name: api-service
          port: 8080

# Extended機能：ほとんどの実装がサポートするが確認が必要
rules:
  - filters:
      - type: RequestRedirect # Extended：HTTPリダイレクト
        requestRedirect:
          scheme: https
          statusCode: 301
      - type: URLRewrite # Extended：URLリライト
        urlRewrite:
          path:
            type: ReplacePrefixMatch
            replacePrefixMatch: /v2
    backendRefs:
      - name: api-v1
        port: 8080
        weight: 90 # Extended：トラフィックウェイト（カナリー）
      - name: api-v2
        port: 8080
        weight: 10

  ┌─────────────────────────────────────────────────────────────┐
  │               Conformance Testプロセス                       │
  │                                                             │
  │  1. Gateway APIテストスイート実行                              │
  │     └─> 標準Gateway/HTTPRouteリソースのデプロイ               │
  │                                                             │
  │  2. 実際のトラフィック送信および動作検証                       │
  │     └─> パスマッチング、ヘッダーフィルタリング、リダイレクトなど │
  │                                                             │
  │  3. 結果レポート生成                                         │
  │     └─> Core 100%、Extended featuresリスト                   │
  │                                                             │
  │  4. 公式認証（Conformance Profile）                          │
  │     └─> Gateway API公式実装リスト登録                         │
  └─────────────────────────────────────────────────────────────┘

  ┌──────────────────┐     ┌──────────────────┐
  │   AWS EKS        │     │   Azure AKS      │
  │                  │     │                  │
  │  GatewayClass:   │     │  GatewayClass:   │
  │  aws-gateway     │     │  azure-gateway   │
  │  (実装変更)       │     │  (実装変更)       │
  │                  │     │                  │
  │  Gateway: ───────┼─────┼─ Gateway: ──────┐│
  │  (最小修正)       │     │  (最小修正)      ││
  │                  │     │                  ││
  │  HTTPRoute: ─────┼─────┼─ HTTPRoute: ────┘│
  │  (同一再利用)     │     │  (同一再利用)     │
  └──────────────────┘     └──────────────────┘
           │                        │
           └───────┬────────────────┘
                   │
        同一のHTTPRouteマニフェストを
        GatewayClassのみ変更して再利用

  HTTP/2 over TCPのHead-of-Line Blocking問題：

  TCP接続
  ┌─────────────────────────────────────────────────┐
  │  Stream 1: [パケット1][パケット2][  損失  ][パケット4]      │
  │  Stream 2: [パケットA][パケットB]  ← 待機   [パケットD]     │  ← ブロッキング！
  │  Stream 3: [パケットX][パケットY]  ← 待機   [パケットZ]     │  ← ブロッキング！
  └─────────────────────────────────────────────────┘
               パケット3損失時 → 全ストリームが待機

  HTTP/3 over QUICの独立ストリーム：

  QUIC接続
  ┌─────────────────────────────────────────────────┐
  │  Stream 1: [パケット1][パケット2][  損失  ][パケット4]      │  ← このストリームのみ影響
  │  Stream 2: [パケットA][パケットB][パケットC]   [パケットD]      │  ← 正常進行！
  │  Stream 3: [パケットX][パケットY][パケットZ]               │  ← 正常進行！
  └─────────────────────────────────────────────────┘
               パケット3損失時 → Stream 1のみ影響

apiVersion: gateway.nginx.org/v1alpha1
kind: NginxProxy
metadata:
  name: http3-enabled-proxy
spec:
  config:
    http:
      http3: true
      http3MaxConcurrentStreams: 128
      altSvcHeader: true # Alt-Svcヘッダー自動追加

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: http3-gateway
  namespace: gateway-infra
spec:
  gatewayClassName: nginx-gateway-fabric
  listeners:
    # HTTPS (TCP) + HTTP/3 (UDP) 同時リスニング
    - name: https-tcp
      protocol: HTTPS
      port: 443
      tls:
        mode: Terminate
        certificateRefs:
          - name: wildcard-tls-cert
    - name: https-udp
      protocol: HTTPS # HTTP/3はHTTPSプロトコルで宣言
      port: 443 # 同一ポート、UDPでQUIC処理
      tls:
        mode: Terminate
        certificateRefs:
          - name: wildcard-tls-cert

apiVersion: v1
kind: Service
metadata:
  name: nginx-gateway-fabric
  namespace: gateway-infra
spec:
  type: LoadBalancer
  ports:
    - name: https-tcp
      port: 443
      targetPort: 443
      protocol: TCP
    - name: https-udp
      port: 443
      targetPort: 443
      protocol: UDP # QUICのためのUDPポート必須

  ┌─────────────────────────────────────────────────────────┐
  │              HTTP/3ネットワーク要件                       │
  │                                                         │
  │  インバウンドルールにUDP 443の追加が必須：                 │
  │                                                         │
  │  既存（HTTP/2のみ）：                                    │
  │  ┌──────────────────────────────────────┐               │
  │  │ TCP 80   ← HTTP                     │               │
  │  │ TCP 443  ← HTTPS (TLS over TCP)     │               │
  │  └──────────────────────────────────────┘               │
  │                                                         │
  │  HTTP/3追加後：                                          │
  │  ┌──────────────────────────────────────┐               │
  │  │ TCP 80   ← HTTP                     │               │
  │  │ TCP 443  ← HTTPS (TLS over TCP)     │               │
  │  │ UDP 443  ← QUIC (HTTP/3 over UDP)   │  ← 追加必須   │
  │  └──────────────────────────────────────┘               │
  │                                                         │
  │  注意：多くの企業ファイアウォールとクラウドセキュリティ     │
  │  グループはUDP 443をデフォルトでブロックしている。          │
  └─────────────────────────────────────────────────────────┘

Alt-Svc: h3=":443"; ma=86400

# nginx.confでeBPFベースのQUICルーティング有効化
quic_bpf on;  # Linux 5.7+ 必須

  ┌──────────────────────────────────────────────────────────────┐
  │              段階的マイグレーション戦略                        │
  │                                                              │
  │  Phase 1: インベントリおよび評価（1～2週間）                  │
  │  ├─ 全Ingressリソースのリスト化                               │
  │  ├─ 使用中のアノテーション分類                                │
  │  ├─ snippets使用有無の把握（セキュリティリスク優先除去）      │
  │  └─ 依存性マッピング（cert-manager、external-dnsなど）       │
  │                                                              │
  │  Phase 2: Gateway APIインフラ構築（1～2週間）                 │
  │  ├─ Gateway API CRDインストール                              │
  │  ├─ NGINX Gateway Fabricまたは代替コントローラーデプロイ      │
  │  ├─ GatewayClass、Gatewayリソース作成                        │
  │  └─ 非プロダクション環境で検証                                │
  │                                                              │
  │  Phase 3: 段階的ルーティング移行（2～4週間）                  │
  │  ├─ ingress2gatewayツールで初期変換                           │
  │  ├─ 手動レビューおよびアノテーション → フィルター/ポリシー変換 │
  │  ├─ サービスごとの順次移行（非クリティカル → クリティカル）    │
  │  └─ 並行運用（Ingress + Gateway API）期間                    │
  │                                                              │
  │  Phase 4: 完全移行およびクリーンアップ（1～2週間）            │
  │  ├─ 全トラフィックがGateway API経由であることの確認            │
  │  ├─ Ingressリソースの除去                                    │
  │  ├─ ingress-nginxコントローラーの除去                         │
  │  └─ モニタリングおよびアラートの再設定                        │
  └──────────────────────────────────────────────────────────────┘

# 全ネームスペースのIngressリソース一覧
kubectl get ingress -A -o wide

# 使用中のアノテーション全抽出
kubectl get ingress -A -o json | \
  jq -r '.items[].metadata.annotations // {} | keys[]' | \
  sort | uniq -c | sort -rn

# snippetsアノテーション使用有無の緊急確認（セキュリティリスク）
kubectl get ingress -A -o json | \
  jq -r '.items[] | select(.metadata.annotations["nginx.ingress.kubernetes.io/configuration-snippet"] != null or .metadata.annotations["nginx.ingress.kubernetes.io/server-snippet"] != null) | .metadata.namespace + "/" + .metadata.name'

# IngressClass確認
kubectl get ingressclass

# Go環境がある場合
go install github.com/kubernetes-sigs/ingress2gateway@latest

# またはGitHub Releasesからバイナリダウンロード
# https://github.com/kubernetes-sigs/ingress2gateway/releases

# クラスターのIngressリソースを自動変換
ingress2gateway print --all-namespaces

# 特定のネームスペースのみ変換
ingress2gateway print --namespace production

# ファイルベースの変換
ingress2gateway print --input-file ingress-resources.yaml

# ingress-nginxプロバイダー指定（アノテーション変換サポート）
ingress2gateway print --providers ingress-nginx --all-namespaces

# 結果をファイルに保存
ingress2gateway print --providers ingress-nginx --all-namespaces > gateway-resources.yaml

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: example-app
  namespace: production
  annotations:
    nginx.ingress.kubernetes.io/ssl-redirect: 'true'
    nginx.ingress.kubernetes.io/rewrite-target: /$2
spec:
  ingressClassName: nginx
  tls:
    - hosts:
        - app.example.com
      secretName: app-tls
  rules:
    - host: app.example.com
      http:
        paths:
          - path: /api(/|$)(.*)
            pathType: ImplementationSpecific
            backend:
              service:
                name: api-service
                port:
                  number: 80

apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: nginx
  namespace: production
spec:
  gatewayClassName: nginx
  listeners:
    - name: app-example-com-https
      hostname: app.example.com
      port: 443
      protocol: HTTPS
      tls:
        certificateRefs:
          - name: app-tls
---
apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: example-app
  namespace: production
spec:
  parentRefs:
    - name: nginx
  hostnames:
    - app.example.com
  rules:
    - matches:
        - path:
            type: PathPrefix
            value: /api
      filters:
        - type: URLRewrite
          urlRewrite:
            path:
              type: ReplacePrefixMatch
              replacePrefixMatch: /
      backendRefs:
        - name: api-service
          port: 80

# Gateway API CRDインストール
kubectl kustomize \
  "https://github.com/kubernetes-sigs/gateway-api/config/crd?ref=v1.2.1" \
  | kubectl apply -f -

# NGINX Gateway Fabricインストール
helm install ngf oci://ghcr.io/nginx/charts/nginx-gateway-fabric \
  --create-namespace \
  --namespace nginx-gateway \
  --set service.type=LoadBalancer

# インストール後GatewayClass確認
kubectl get gatewayclass
# NAME            CONTROLLER                                    ACCEPTED
# nginx           gateway.nginx.org/nginx-gateway-controller     True

# Gatewayリソース適用
kubectl apply -f gateway.yaml

# Gatewayステータス確認
kubectl get gateway -n gateway-infra
# NAME                  CLASS   ADDRESS         PROGRAMMED   AGE
# production-gateway    nginx   203.0.113.10    True         5m

# HTTPRoute適用
kubectl apply -f httproute.yaml

# HTTPRouteステータス確認
kubectl get httproute -n app-team-a
# NAME          HOSTNAMES           AGE
# api-routes    ["api.example.com"] 2m

# 実際のトラフィックテスト
curl -H "Host: api.example.com" https://203.0.113.10/v1/health

# 今すぐ実行してください
kubectl get ingress -A -o json | \
  jq -r '[.items[] | {
    namespace: .metadata.namespace,
    name: .metadata.name,
    annotations: (.metadata.annotations // {} | keys | length),
    has_snippets: ((.metadata.annotations // {}) |
      has("nginx.ingress.kubernetes.io/configuration-snippet") or
      has("nginx.ingress.kubernetes.io/server-snippet"))
  }]'

go install github.com/kubernetes-sigs/ingress2gateway@latest
ingress2gateway print --providers ingress-nginx -A > gateway-migration.yaml

# 非プロダクションクラスターでテスト
kubectl kustomize \
  "https://github.com/kubernetes-sigs/gateway-api/config/crd?ref=v1.2.1" \
  | kubectl apply -f -

helm install ngf oci://ghcr.io/nginx/charts/nginx-gateway-fabric \
  --create-namespace --namespace nginx-gateway