2. 核心概念与术语：准入控制器、准入 Webhook 与 CNI 策略引擎

在 Kubernetes 集群中，准入控制器（Admission Controller） 是 API Server 请求链路上的关键拦截点。当用户通过 kubectl 或 API 调用创建、更新、删除资源时，请求在完成身份认证（Authentication）和授权（Authorization）之后、被持久化到 etcd 之前，会依次经过一系列准入控制器的检查。CNI 安全策略正是利用这一机制，在 Pod 创建阶段强制注入网络规则或校验网络配置。

2.1 准入控制器与准入 Webhook

Kubernetes 内置了多种准入控制器（如 NamespaceLifecycle、ResourceQuota），但 CNI 策略引擎通常使用 动态准入 Webhook 来扩展策略逻辑。动态准入 Webhook 允许集群管理员注册外部 HTTP 回调，在请求处理的两个阶段介入：

• Mutating Admission Webhook：在请求被持久化之前，修改（Mutate）资源对象。CNI 策略引擎常在此阶段为 Pod 注入 Sidecar 容器、修改 Pod 的 securityContext 或添加网络注解。
• Validating Admission Webhook：在请求被持久化之前，校验（Validate）资源对象。CNI 策略引擎在此阶段检查 Pod 的网络标签、端口映射或网络策略是否合规。

2.2 MutatingWebhookConfiguration 与 ValidatingWebhookConfiguration

这两个资源对象是 Webhook 的注册配置。集群管理员通过 YAML 声明 Webhook 的调用端点、触发规则、超时时间、失败策略等参数。

2.3 CNI 插件与策略引擎的关系

CNI（Container Network Interface）插件负责为 Pod 配置网络接口和 IP 地址。而 策略引擎 是一个独立的控制面组件，它通过准入 Webhook 与 CNI 插件协作，实现网络策略的强制实施。两者并非同一组件，而是通过以下方式协同：

1. 策略定义层：策略引擎（如 CiliumNetworkPolicy、Calico NetworkPolicy CRD）定义允许或拒绝的流量规则。
2. 准入拦截层：策略引擎注册的 ValidatingWebhook 在 Pod 创建时校验其标签、注解是否匹配策略。
3. 数据面实施层：CNI 插件（如 Cilium、Calico）在 Pod 网络命名空间中安装 eBPF 程序或 iptables 规则，将策略规则转化为数据包过滤逻辑。

2.4 CNI 策略引擎的准入工作流程

以下流程图展示了 CNI 策略引擎通过准入 Webhook 与 CNI 插件协作的完整工作流程：

2.5 核心术语关系总结