2. Kubernetes 准入控制基础

Kubernetes 准入控制（Admission Control）是 API Server 请求处理链中位于认证（Authentication）与鉴权（Authorization）之后、对象持久化（etcd 存储）之前的核心拦截层。它决定了哪些请求可以修改集群状态，是实施安全基线核验、策略强制和资源合规检查的关键位置。

2.1 准入控制器原理

准入控制器是一段拦截并处理 API Server 请求的代码插件。当用户或组件向 Kubernetes API 发送创建、更新、删除等变更请求时，请求会依次经过认证 → 鉴权 → 准入控制三个阶段。准入控制器可以验证请求内容、修改请求对象，甚至拒绝请求。

Kubernetes 内置了约 30 个准入控制器（如 NamespaceLifecycle、LimitRanger、PodSecurity），同时支持通过 Webhook 扩展自定义逻辑。OPA Gatekeeper 正是利用 ValidatingAdmissionWebhook 和 MutatingAdmissionWebhook 两种机制实现策略注入。

2.2 Mutating 与 Validating Webhook

Kubernetes 提供了两种 Webhook 准入控制器，允许集群管理员将自定义逻辑注册到 API Server 的请求处理链中：

• MutatingAdmissionWebhook：拦截请求后，可以修改（Mutate）请求对象的内容。常用于注入默认值、添加注解、注入 Sidecar 容器等场景。
• ValidatingAdmissionWebhook：拦截请求后，仅验证对象是否符合策略，不能修改对象。常用于安全策略检查、资源配额验证、合规性审计等场景。

Webhook 的注册通过 MutatingWebhookConfiguration 和 ValidatingWebhookConfiguration 资源对象完成。配置中需要指定 Webhook 服务器的 URL 或 Service 引用、匹配规则（哪些资源、哪些操作触发）、超时时间、失败策略等关键参数。

# ValidatingWebhookConfiguration 示例
apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: "gatekeeper-validating-webhook"
webhooks:
- name: "validation.gatekeeper.sh"
  clientConfig:
    service:
      name: gatekeeper-webhook-service
      namespace: gatekeeper-system
      path: "/v1/admit"
    caBundle: <base64-encoded-ca-cert>
  rules:
  - operations: ["CREATE", "UPDATE"]
    apiGroups: ["*"]
    apiVersions: ["*"]
    resources: ["pods", "deployments", "namespaces"]
  failurePolicy: Fail
  timeoutSeconds: 5
  admissionReviewVersions: ["v1", "v1beta1"]
  sideEffects: None

2.3 AdmissionReview 请求与响应结构

Kubernetes API Server 与 Webhook 服务器之间通过 AdmissionReview 对象进行通信。API Server 发送 AdmissionReview 请求，Webhook 服务器返回 AdmissionReview 响应。这是所有 Webhook 实现必须遵循的协议。

请求结构（AdmissionRequest）

API Server 构造的 AdmissionRequest 包含请求的完整上下文：

响应结构（AdmissionResponse）

Webhook 服务器必须在 AdmissionResponse 中返回以下关键字段：

// AdmissionReview 请求示例（JSON 格式）
{
  "apiVersion": "admission.k8s.io/v1",
  "kind": "AdmissionReview",
  "request": {
    "uid": "12345678-1234-1234-1234-123456789abc",
    "kind": {"group": "", "version": "v1", "kind": "Pod"},
    "resource": {"group": "", "version": "v1", "resource": "pods"},
    "namespace": "default",
    "operation": "CREATE",
    "object": {
      "apiVersion": "v1",
      "kind": "Pod",
      "metadata": {
        "name": "nginx-pod",
        "labels": {"app": "nginx"}
      },
      "spec": {
        "containers": [{
          "name": "nginx",
          "image": "nginx:latest"
        }]
      }
    },
    "oldObject": null,
    "userInfo": {
      "username": "admin",
      "uid": "user-abc-123",
      "groups": ["system:masters"]
    },
    "dryRun": false
  }
}

// AdmissionReview 响应示例（拒绝）
{
  "apiVersion": "admission.k8s.io/v1",
  "kind": "AdmissionReview",
  "response": {
    "uid": "12345678-1234-1234-1234-123456789abc",
    "allowed": false,
    "status": {
      "code": 403,
      "message": "Pod 'nginx-pod' 违反了基线安全策略：容器镜像必须来自受信任的仓库"
    },
    "warnings": ["建议使用 'nginx:1.25' 替代 'nginx:latest'"]
  }
}

2.4 本章小结