📚 课程目录第4章 Kubernetes准入控制机制

4. Kubernetes 准入控制机制：Admission Webhook 与 Calico 集成点

Kubernetes 准入控制（Admission Control）是 API Server 请求处理链中的关键安全闸门。任何对集群资源的创建、更新、删除操作，在通过认证和授权后，都必须经过准入控制器的检查与处理。Calico 作为网络策略引擎，正是通过 Admission Webhook 机制，将安全策略的强制校验与动态注入能力嵌入到 Kubernetes 的核心控制平面中。

4.1 准入控制链与 Webhook 位置

Kubernetes API 请求的完整处理流程如下：

认证（Authentication）：验证请求者身份（TLS 证书、、Basic Auth）。
授权（Authorization）：检查请求者是否拥有操作资源的权限（RBAC、ABAC）。
准入控制（Admission Control）：对请求进行拦截、修改或校验。
持久化（etcd）：通过准入检查后，将资源对象写入存储。

准入控制阶段又分为两个子阶段：

阶段	执行顺序	Webhook 类型	核心能力
Mutating	先执行	MutatingAdmissionWebhook	修改（Patch）请求对象，如注入 Sidecar、设置默认值、添加标签/注解
Validating	后执行	ValidatingAdmissionWebhook	校验请求对象是否符合策略规则，拒绝非法操作

关键设计原则：Mutating Webhook 先于 Validating Webhook 执行。这意味着 Validating Webhook 看到的已经是经过 Mutating Webhook 修改后的最终对象。Calico 利用这一顺序，先通过 Mutating Webhook 为 Pod 注入网络策略注解，再通过 Validating Webhook 校验策略的合法性。

4.2 Admission Webhook 工作原理

Admission Webhook 本质上是 Kubernetes API Server 在请求处理过程中，通过 HTTP 回调方式调用的外部服务。其工作流程如下：

注册 Webhook：通过 MutatingWebhookConfiguration 或 ValidatingWebhookConfiguration 资源注册 Webhook 服务地址、触发规则（Operations、Resources、Namespaces）。
拦截请求：API Server 匹配到符合条件的请求后，构造 AdmissionReview 对象（包含请求的 Object、OldObject、UserInfo 等），发送给 Webhook 服务。
处理与响应：Webhook 服务解析 AdmissionReview，执行自定义逻辑，返回 AdmissionResponse（允许/拒绝、Patch 操作、状态消息）。
执行结果：API Server 根据 Webhook 响应决定是否继续处理请求。

Calico 的 Webhook 注册示例（ValidatingWebhookConfiguration）：

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: calico-validating-webhook
webhooks:
- name: networkpolicy.validating.calico.cloud
  clientConfig:
    service:
      name: calico-validating-webhook
      namespace: calico-system
      path: /validate
    caBundle: <base64-encoded-ca-cert>
  rules:
  - operations: ["CREATE", "UPDATE"]
    apiGroups: ["projectcalico.org"]
    apiVersions: ["v3"]
    resources: ["networkpolicies", "globalnetworkpolicies"]
  failurePolicy: Fail
  sideEffects: None
  admissionReviewVersions: ["v1"]

4.3 Calico 与 Admission Webhook 的集成点

Calico 在 Kubernetes 集群中部署了两个核心 Webhook 服务，分别对应 Mutating 和 Validating 阶段：

Webhook 名称	类型	监听资源	核心功能
calico-mutating-webhook	Mutating	Pod	为 Pod 注入网络策略注解（如 `cni.projectcalico.org/podIP`），设置默认网络策略标签
calico-validating-webhook	Validating	NetworkPolicy、GlobalNetworkPolicy、NetworkSet	校验策略语法正确性、引用合法性、安全约束（如禁止通配策略）

4.4 准入链中的安全设计要点

顺序依赖：Mutating Webhook 必须在 Validating Webhook 之前执行，确保校验时看到的是最终对象。Calico 通过 webhooks[].rules.operations 和 failurePolicy 控制执行顺序与失败行为。
幂等性：Webhook 处理逻辑必须幂等，避免重复注入导致对象状态异常。Calico 在注入注解前会检查是否已存在。
超时与重试：API Server 默认 Webhook 超时时间为 30 秒，超时后根据 failurePolicy（Ignore/Fail）决定是否放行。生产环境建议设置为 Fail 并监控 Webhook 服务健康状态。
证书管理：Webhook 服务必须使用 TLS 证书与 API Server 通信。Calico 使用 cert-manager 或内置证书管理组件自动轮换证书。
最小权限：Webhook 服务仅需读取触发资源（如 Pod、NetworkPolicy）的权限，不应授予集群管理权限。

安全风险提示：如果 Validating Webhook 服务不可用且 failurePolicy 设置为 Ignore，所有网络策略的创建/更新操作将跳过校验，可能导致不合规策略被应用到集群。生产环境应设置 failurePolicy: Fail 并部署多副本 Webhook 服务保障高可用。

4.5 集成点总结

集成点	Webhook 类型	触发资源	Calico 组件	安全价值
Pod 创建/更新	Mutating	Pod	calico-mutating-webhook	自动注入网络策略注解，确保 Pod 被正确隔离
NetworkPolicy 创建/更新	Validating	NetworkPolicy	calico-validating-webhook	校验策略语法、引用合法性，拒绝非法策略
GlobalNetworkPolicy 创建/更新	Validating	GlobalNetworkPolicy	calico-validating-webhook	校验全局策略安全约束，防止越权策略
NetworkSet 创建/更新	Validating	NetworkSet	calico-validating-webhook	校验网络集合定义，防止无效引用

通过上述集成点，Calico 将网络策略的准入控制深度嵌入 Kubernetes 原生工作流，实现了从 Pod 创建到策略生效的全链路安全校验，为平台门户的权限设计提供了坚实的底层保障。