4、内置准入控制器详解：MutatingAdmissionWebhook、ValidatingAdmissionWebhook、ResourceQuota、LimitRanger

Kubernetes 准入控制器（Admission Controller）是 API Server 请求链路上的关键拦截层，位于认证、授权之后，对象持久化之前。它能够拦截、修改甚至拒绝请求，是实现策略执行、资源治理和安全加固的核心机制。本章深入剖析四个最常用的内置准入控制器：MutatingAdmissionWebhook、ValidatingAdmissionWebhook、ResourceQuota 和 LimitRanger，涵盖其工作原理、配置要点及故障排查方向。

4.1 准入控制器的请求处理阶段

Kubernetes 将准入控制器分为两类执行阶段：

• Mutating（变更）阶段：先执行，允许修改请求对象（如注入 Sidecar、设置默认值）。
• Validating（验证）阶段：后执行，仅检查对象是否符合策略，拒绝不合规请求。

内置控制器按此顺序串联在 API Server 的 --enable-admission-plugins 参数中。下图展示了请求在 API Server 内部的完整处理流程：

4.2 MutatingAdmissionWebhook 与 ValidatingAdmissionWebhook

这两个控制器是 Kubernetes 动态准入控制的基石，允许集群管理员通过 Webhook 调用外部服务来修改或验证资源对象。

特性	MutatingAdmissionWebhook	ValidatingAdmissionWebhook
执行阶段	Mutating 阶段（先执行）	Validating 阶段（后执行）
核心能力	修改请求对象（注入、默认值、补丁）	验证对象合规性（拒绝不合规请求）
Webhook 配置	MutatingWebhookConfiguration	ValidatingWebhookConfiguration
失败策略	failurePolicy: Fail/Ignore	failurePolicy: Fail/Ignore
超时设置	timeoutSeconds（默认 10s，最大 30s）	timeoutSeconds（默认 10s，最大 30s）
常见用途	Sidecar 注入、资源标签注入、默认存储类设置	Pod 安全策略校验、自定义资源验证、命名空间隔离检查

4.3 ResourceQuota

ResourceQuota 用于限制命名空间级别的资源使用总量，防止单个命名空间耗尽集群资源。它作用于 Validating 阶段，在对象持久化前检查配额是否充足。

4.3.1 可限制的资源类型

资源类别	示例	说明
计算资源	requests.cpu, limits.memory	Pod 的 CPU/内存请求与限制总和
存储资源	requests.storage, persistentvolumeclaims	PVC 存储总量与数量
对象数量	pods, services, configmaps	命名空间内各类资源对象的最大数量
扩展资源	requests.nvidia.com/gpu	自定义设备资源

4.3.2 ResourceQuota 配置示例

apiVersion: v1
kind: ResourceQuota
metadata:
  name: compute-quota
  namespace: production
spec:
  hard:
    requests.cpu: "10"
    requests.memory: 20Gi
    limits.cpu: "20"
    limits.memory: 40Gi
    pods: "50"
    persistentvolumeclaims: "10"
    requests.storage: 100Gi

4.4 LimitRanger

LimitRanger 在 Mutating 阶段 为未设置资源请求/限制的 Pod 注入默认值，并在 Validating 阶段 检查 Pod 的资源声明是否在允许范围内。它作用于命名空间级别，确保每个 Pod 都有合理的资源约束。

4.4.1 LimitRanger 配置示例

apiVersion: v1
kind: LimitRange
metadata:
  name: resource-limits
  namespace: development
spec:
  limits:
  - max:
      cpu: "2"
      memory: 4Gi
    min:
      cpu: "100m"
      memory: 128Mi
    default:
      cpu: "500m"
      memory: 512Mi
    defaultRequest:
      cpu: "200m"
      memory: 256Mi
    type: Container

4.4.2 LimitRanger 字段说明

字段	作用	阶段
max	Pod/Container 资源上限	Validating（拒绝超限请求）
min	Pod/Container 资源下限	Validating（拒绝低于下限请求）
default	未设置 limits 时的默认值	Mutating（注入默认值）
defaultRequest	未设置 requests 时的默认值	Mutating（注入默认值）
maxLimitRequestRatio	限制 limits/requests 的最大比值	Validating（拒绝超比例请求）

4.5 四个控制器的对比总结

控制器	阶段	作用范围	核心功能	故障排查关键点
MutatingAdmissionWebhook	Mutating	集群/命名空间	调用外部服务修改对象	Webhook 超时、证书、循环调用
ValidatingAdmissionWebhook	Validating	集群/命名空间	调用外部服务验证对象	Webhook 超时、证书、验证逻辑错误
ResourceQuota	Validating	命名空间	限制命名空间资源总量	配额不足、配额未生效、多配额冲突
LimitRanger	Mutating + Validating	命名空间	注入默认资源值 + 校验范围	默认值未注入、范围校验失败、与配额冲突