4. Velero 准入架构核心组件：MutatingWebhookConfiguration、ValidatingWebhookConfiguration、Webhook Server

在 Velero 的灾备准入场景中，Kubernetes 的动态准入控制（Dynamic Admission Control）是拦截和修改资源请求的核心机制。Velero 通过部署 Webhook Server，并注册 MutatingWebhookConfiguration 和 ValidatingWebhookConfiguration 两种资源，实现对备份/恢复操作的策略注入与合法性校验。

4.1 核心组件概览

下表对比了三种核心组件的职责与生命周期关系：

4.2 组件交互流程与架构

下图展示了 Velero 准入架构中三个核心组件的协作关系：

4.3 MutatingWebhookConfiguration 详解

MutatingWebhookConfiguration 负责在资源持久化之前修改对象。Velero 利用它实现以下功能：

• 自动注入备份标签：为符合条件的 Namespace 或资源添加 velero.io/backup-name 标签。
• 注入 Sidecar 代理：在 Pod 创建时注入 Velero 数据移动代理容器。
• 默认注解填充：为备份/恢复任务添加默认的 TTL、存储位置等注解。

4.4 ValidatingWebhookConfiguration 详解

ValidatingWebhookConfiguration 在 Mutation 完成后执行，用于拒绝不符合 Velero 策略的请求：

• 备份策略校验：检查备份名称是否重复、存储位置是否存在、资源选择器是否合法。
• 恢复策略校验：验证恢复目标 Namespace 是否存在、是否允许跨集群恢复、是否违反资源配额。
• 安全约束：拒绝包含危险注解（如 velero.io/skip-validation=true）的请求。

4.5 Webhook Server 实现细节

Webhook Server 是实际处理 AdmissionReview 请求的后端服务，其核心要素包括：

• 部署形态：以 Deployment 运行，通常包含 2 个副本以保证高可用。
• TLS 证书：必须配置由 Kubernetes CA 签发的证书，kube-apiserver 通过 clientConfig.caBundle 验证服务端身份。
• 端点路径：默认监听 /admission 路径，接收 AdmissionReview JSON 请求。
• 超时设置：默认超时 10 秒，超时后根据 failurePolicy 决定是否放行。

4.6 组件依赖关系与故障排查路径

下图展示了组件间的依赖关系及故障排查的推荐路径：

4.7 关键配置示例

以下是一个典型的 Velero MutatingWebhookConfiguration 配置片段：

apiVersion: admissionregistration.k8s.io/v1
kind: MutatingWebhookConfiguration
metadata:
  name: velero-mutating-webhook
webhooks:
- name: mutation.velero.io
  clientConfig:
    service:
      name: velero-webhook-service
      namespace: velero
      path: /admission
    caBundle: <base64-encoded-ca-cert>
  rules:
  - operations: ["CREATE", "UPDATE"]
    apiGroups: ["*"]
    apiVersions: ["*"]
    resources: ["pods", "namespaces"]
  failurePolicy: Fail
  sideEffects: None
  admissionReviewVersions: ["v1"]