4. 准入控制基础：Kubernetes Admission Controller 原理、Mutating 与 Validating Webhook 的区别、动态准入控制流程

4.1 什么是 Kubernetes 准入控制？

Kubernetes API Server 在处理任何资源请求（创建、更新、删除）时，会在请求被持久化到 etcd 之前，依次通过一系列称为 Admission Controller（准入控制器）的插件。这些插件可以拦截 API 请求，并根据预定义的策略对请求进行修改或验证。

准入控制是 Kubernetes 实现安全策略、资源配额、默认值注入等功能的最后一道防线。它位于认证（Authentication）和授权（Authorization）之后，确保只有符合集群规范的请求才能被持久化。

4.2 Admission Controller 的工作原理

Kubernetes 内置了多种 Admission Controller（如 NamespaceLifecycle、LimitRanger、PodSecurity 等），它们以插件形式注册在 API Server 中。当请求到达时，API Server 会按顺序执行以下步骤：

1. 解析请求：将 HTTP 请求反序列化为内部对象。
2. 执行 Mutating 准入控制器：允许修改请求对象（如注入 Sidecar、设置默认值）。
3. 执行对象模式验证：对修改后的对象进行基本的 Schema 校验。
4. 执行 Validating 准入控制器：验证对象是否符合业务策略（如禁止特权容器）。
5. 持久化到 etcd：只有通过所有准入控制器的请求才会被写入存储。

4.3 Mutating 与 Validating Webhook 的区别

Kubernetes 允许通过 Dynamic Admission Control（动态准入控制） 注册外部 Webhook 服务。这些 Webhook 分为两类：

4.4 动态准入控制流程详解

动态准入控制通过 MutatingWebhookConfiguration 和 ValidatingWebhookConfiguration 两种资源对象来配置。当 API Server 收到请求时，会执行以下详细流程：

1. 匹配规则：API Server 根据 Webhook 配置中的 rules 字段（API 组、资源、操作）判断当前请求是否命中该 Webhook。
2. 对象序列化：将请求对象序列化为 JSON，并通过 HTTPS 发送到 Webhook 服务。
3. Webhook 处理：外部服务解析 AdmissionReview 请求，执行业务逻辑。
4. 返回响应：Webhook 返回 AdmissionReview 响应，包含 allowed 字段和可选的 patch（仅 Mutating）。
5. 合并结果：API Server 收集所有 Webhook 的响应，按顺序应用 Patch，并最终决定是否放行。

4.5 Webhook 配置示例

以下是一个典型的 ValidatingWebhookConfiguration 示例，用于验证 Pod 是否使用了允许的镜像仓库：

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: "pod-image-validator.example.com"
webhooks:
- name: "pod-image-validator.example.com"
  clientConfig:
    service:
      namespace: "webhook-system"
      name: "pod-image-validator"
      path: "/validate"
    caBundle: "LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0t..."
  rules:
  - operations: ["CREATE", "UPDATE"]
    apiGroups: [""]
    apiVersions: ["v1"]
    resources: ["pods"]
    scope: "Namespaced"
  admissionReviewVersions: ["v1", "v1beta1"]
  sideEffects: None
  timeoutSeconds: 5
  failurePolicy: Fail

4.6 与 Cilium 的协同点

在租户隔离场景中，Admission Controller 与 Cilium 的协同主要体现在以下方面：