Wer auf EKS noch ingress-nginx betreibt, hat seit dem 28. Oktober 2026 eine neue Option: Amazon EKS Auto Mode unterstützt die Kubernetes Gateway API, ohne dass Sie dafür einen eigenen Controller installieren. Für den Umstieg von Ingress ist das die bequemste Route auf AWS, aber nicht für jede Konfiguration die vollständigste. Dieser Beitrag ordnet ein, was die Ankündigung abdeckt, was sie kostet und wo Sie selbst prüfen müssen.
EKS Auto Mode Gateway API: Was AWS am 28. Oktober 2026 freigegeben hat
AWS hat die Gateway API am 28. Oktober 2026 in EKS Auto Mode eingeführt: Sie definieren Gateway- und HTTPRoute-Ressourcen, und Auto Mode stellt die zugrunde liegende AWS-Infrastruktur bereit und verwaltet sie (AWS, What's New, 28.10.2026).
Laut AWS gehören dazu HTTP- und gRPC-Routing, Routing über Namespace-Grenzen hinweg für Umgebungen mit mehreren Teams, gewichtete Aufteilung des Datenverkehrs, Header-basiertes Routing und die automatische Erkennung von TLS-Zertifikaten über AWS Certificate Manager. Die Funktion ist in allen Regionen verfügbar, in denen es EKS Auto Mode gibt.
Darunter arbeitet nach den AWS-Unterlagen der AWS Load Balancer Controller. Dessen Gateway-API-Unterstützung wurde im März 2026 allgemein verfügbar; für Application Load Balancer verlangt die EKS-Dokumentation die Controller-Version 2.14.0 oder neuer. In Auto Mode entfällt diese Versionspflege, weil AWS die Komponente betreibt.
Warum Ingress NGINX die Migration dringlich macht
Der Community-Controller ingress-nginx ist seit März 2026 abgekündigt, es gibt keine Releases, Bugfixes oder Sicherheitspatches mehr. AWS weist in der EKS-Dokumentation darauf hin, dass bestehende Installationen weiterlaufen, aber Sicherheitsrisiken tragen, und dass keine der Alternativen ein direkter Ersatz ist.
Wichtig ist die Abgrenzung: Abgekündigt ist nur das Community-Projekt kubernetes/ingress-nginx. Der kommerzielle F5 NGINX Ingress Controller und NGINX Gateway Fabric laufen weiter (wz-it.com, Oktober 2026).
Die Gateway API selbst ist kein Experiment. Sie ist laut derselben Quelle seit Version 1.0 am 31. Oktober 2023 stabil. Für Produktion gilt der Standard-Kanal mit den stabilen v1-Ressourcen.
Wie sieht die Gateway API in EKS Auto Mode im Alltag aus?
Statt einer einzigen Ingress-Ressource arbeiten Sie mit drei Objekttypen, die verschiedenen Rollen gehören: Die GatewayClass legt fest, welcher Controller zuständig ist, das Gateway beschreibt den Einstiegspunkt mit Listenern und TLS, und die HTTPRoute hängt Routing-Regeln daran.
Für Organisationen mit mehreren Teams ist das der eigentliche Gewinn. Die Plattformgruppe besitzt Gateway und Klasse, die Anwendungsteams schreiben nur ihre Routen. Ein Dienst in einem anderen Namespace wird über eine ReferenceGrant freigegeben. Bei Ingress lief das bisher über Annotations und Konventionen.
Ein praktischer Punkt: Ingress-Ressourcen laufen laut AWS neben Gateway-API-Ressourcen weiter. Sie müssen also nicht an einem Stichtag umstellen. Wie Auto Mode die Gateway-Ressourcen im Detail auf Load Balancer abbildet und welche AWS-spezifischen Einstellungen (etwa Subnetze oder Security Groups) Sie dafür setzen, habe ich in der Ankündigung nicht gefunden. Das steht in der EKS-Dokumentation und sollte vor der Planung gelesen werden.
Wer Auto Mode nicht produktiv nutzt, findet in unserem Beitrag zur Konfiguration der Auto-Mode-NodeClass die Stellschrauben auf Knotenebene.
Was kostet die Gateway API in EKS Auto Mode?
Für die Gateway-API-Unterstützung selbst nennt AWS keine Zusatzgebühr; berechnet werden laut Ankündigung die üblichen Preise der bereitgestellten Load-Balancing-Ressourcen.
Die Gesamtrechnung eines Auto-Mode-Clusters bleibt davon getrennt. Sie besteht laut AWS-Preisseite (abgerufen Oktober 2026) aus dem normalen EC2-Preis plus einer Auto-Mode-Gebühr pro Instanz, die unabhängig von der Kaufoption wie Reserved Instances, Savings Plans oder Spot anfällt. Dazu kommt die Control-Plane-Gebühr von 0,10 US-Dollar pro Cluster und Stunde (EKS-FAQ).
Wie migrieren Sie von Ingress NGINX zur Gateway API?
Die sicherste Reihenfolge ist ein Parallelbetrieb: neue Gateway-Ressourcen aufbauen, mit eigener Adresse testen und erst dann den Datenverkehr per DNS umlenken. Das beschreiben mehrere Migrationsleitfäden übereinstimmend, etwa der von VMware; bei Problemen zeigen Sie den DNS-Eintrag zurück auf die alte Adresse.
- Bestand aufnehmen: Welche Ingress-Ressourcen nutzen welche nginx-Annotations?
- Mit ingress2gateway Gateway- und HTTPRoute-YAML erzeugen. Das Kubernetes-Projekt hat Version 1.0 am 20. März 2026 veröffentlicht; ein Fachbeitrag nennt über 30 unterstützte Annotations.
- Das Ergebnis manuell prüfen. Annotations ohne Entsprechung, etwa Basic-Auth, brauchen implementierungsspezifische Objekte (Solo.io, September 2026).
- Dienst für Dienst in einer Staging-Umgebung umziehen, Zertifikate und Header-Verhalten testen, dann in Produktion wiederholen.
Offen bleibt, wie weit ingress2gateway den AWS-Pfad (Auto-Mode-Controller) abdeckt. Das Werkzeug ist auf ingress-nginx als Quelle ausgelegt, die Ausgabe für AWS-spezifische Einstellungen sollten Sie nicht ungeprüft übernehmen.
Wann sich Auto Mode nicht anbietet
Auto Mode nimmt Ihnen Knotenzugriff und eigene AMIs weg; die Gateway-Funktion ist an diesen Betriebsmodus gebunden. Betreiben Sie Cluster mit Managed Node Groups oder selbst verwalteten Knoten, bleibt der AWS Load Balancer Controller ab Version 2.14.0 der Weg zur Gateway API, oder Sie wählen eine herstellerneutrale Implementierung wie Envoy Gateway oder Cilium. Die konforme Auswahl listet das Gateway-API-Projekt.
Wer bereits mit Platform-Engineering-Bausteinen arbeitet, sollte die Routing-Entscheidung gemeinsam mit der GitOps-Strategie treffen. Einen Überblick dazu gibt unser Beitrag zu EKS Capabilities mit Argo CD, ACK und kro.
Was Sie als Nächstes tun sollten
Zählen Sie diese Woche, auf wie vielen Clustern ingress-nginx noch läuft und welche Annotations dort in Gebrauch sind. Führen Sie ingress2gateway im Nur-Lesen-Modus gegen eine Kopie der Manifeste aus, um zu sehen, wie viel automatisch übersetzt wird. Entscheiden Sie danach pro Cluster, ob EKS Auto Mode oder eine andere Gateway-Implementierung das Ziel ist, und planen Sie einen Pilotdienst mit Parallelbetrieb. Wenn Sie dafür einen zweiten Blick auf Ihre Architektur wünschen, unterstützt DMoove bei Planung und Umsetzung.
Häufige Fragen
Was ist der Unterschied zwischen Ingress und Gateway API?
Ingress ist eine einzelne Ressource, die für fast jede Erweiterung herstellerspezifische Annotations braucht. Die Gateway API trennt dagegen GatewayClass, Gateway und HTTPRoute und kennt Rollen für Plattform- und Anwendungsteams. Sie unterstützt außerdem mehr als HTTP. Die Ingress-API selbst wird laut Community nicht mehr weiterentwickelt.
Kann ich Ingress und Gateway API im selben Cluster parallel betreiben?
Ja. AWS schreibt in der Ankündigung vom 28. Oktober 2026, dass bestehende Workloads mit Ingress-Ressourcen neben Gateway-API-Ressourcen weiterlaufen. Das ermöglicht eine schrittweise Migration, bei der Sie Dienst für Dienst umziehen und den Datenverkehr getrennt prüfen, bevor Sie die alten Ingress-Ressourcen entfernen.
Was kostet die Gateway API in EKS Auto Mode?
Die Gateway-API-Unterstützung ist laut AWS Teil von EKS Auto Mode. Berechnet werden die üblichen Kosten für die dabei bereitgestellten Load-Balancing-Ressourcen. Hinzu kommen unverändert Control-Plane-Gebühr, EC2-Preis und die Auto-Mode-Managementgebühr pro Instanz. Eine zusätzliche Gebühr nur für die Gateway API nennt AWS nicht.
Gibt es ein Werkzeug, das Ingress-Ressourcen in Gateway-API-Ressourcen umwandelt?
Ja, das Kubernetes-Projekt SIG Network hat am 20. März 2026 ingress2gateway 1.0 veröffentlicht. Das Werkzeug erzeugt aus Ingress-Manifesten Gateway- und HTTPRoute-YAML und deckt laut einem Fachbeitrag über 30 gängige ingress-nginx-Annotations ab. Das Ergebnis müssen Sie dennoch manuell prüfen und ergänzen.
