你有一个 AKS 集群 (AKS1)，托管着在非默认 HTTP 端口上侦听的微服务 API。你将部署一个标准层 API Management 实例 (APIM1) 以对外公开这些 API。你必须在 APIM1 和 AKS1 之间启用 mTLS 身份验证，同时最大限度地减少开发工作量和成本。你应该怎么做？

正确答案是“将入口控制器部署到 AKS1”。入口控制器可以处理 mTLS 终止和证书管理，从而在 APIM1 和 AKS1 之间启用 mTLS 身份验证。它还可以将流量路由到在非默认 HTTP 端口上侦听的微服务，而无需修改应用程序代码，最大限度地减少开发工作量。入口控制器通常作为 AKS 集群的一部分部署，成本效益高。 “在 AKS1 上实现外部负载均衡器”不能直接提供 mTLS 身份验证功能。 “将 APIM1 重新部署到包含 AKS1 的虚拟网络中”虽然可以改善网络连接，但不能直接启用 mTLS 身份验证，且可能涉及额外的部署和配置成本。 “在 AKS1 上实现 ExternalName 服务”用于将服务映射到外部 DNS 名称，不适用于处理 mTLS 身份验证或路由到特定端口。