2. Webhook 架构：Server 设计、TLS 证书与配置资源

准入控制 Webhook 的核心是 API Server 在持久化资源对象之前，向外部 HTTPS 服务发送准入请求，并根据响应决定是否允许该操作。本章深入剖析 Webhook Server 的架构设计、TLS 证书配置以及两种关键的配置资源：MutatingWebhookConfiguration 与 ValidatingWebhookConfiguration。

2.1 Webhook Server 架构设计

Webhook Server 本质上是一个标准的 HTTPS 服务，接收来自 API Server 的 AdmissionReview 请求，处理后返回 AdmissionReview 响应。其架构通常包含以下核心组件：

• TLS 终端层：负责与 API Server 建立双向 TLS 连接，验证客户端证书，确保通信安全。
• 请求路由与反序列化：接收 HTTP POST 请求，解析 Content-Type（通常为 application/json 或 application/yaml），将请求体反序列化为 AdmissionReview 对象。
• 准入逻辑引擎：根据 AdmissionReview.Request 中的 Kind、Namespace、Operation、Object 等信息，执行自定义的校验或变更逻辑。
• 响应构造器：生成 AdmissionReview.Response，包含 Allowed（布尔值）、Patch（仅 Mutating）、Status（错误信息）等字段。
• 并发与限流：使用 Goroutine 池或异步队列处理请求，防止高并发下资源耗尽。

2.2 TLS 证书配置

API Server 与 Webhook Server 之间的通信必须使用 TLS。Kubernetes 要求 Webhook Server 提供由受信任 CA 签发的证书，或者使用 API Server 内置的 CA 签发自签名证书。常见的配置方式有两种：

证书配置的关键步骤：

1. 生成 CA 私钥与证书（或使用集群已有 CA）。
2. 为 Webhook Server 生成私钥与证书签名请求（CSR）。
3. 使用 CA 签署证书，得到服务端证书。
4. 将服务端证书与私钥挂载到 Webhook Server Pod 中。
5. 将 CA 证书 Base64 编码后填入 MutatingWebhookConfiguration 或 ValidatingWebhookConfiguration 的 clientConfig.caBundle 字段。

2.3 Webhook 配置资源

Kubernetes 通过两种 API 资源来注册 Webhook：MutatingWebhookConfiguration（变更准入）与 ValidatingWebhookConfiguration（校验准入）。两者结构相似，但 MutatingWebhookConfiguration 允许返回 JSON Patch 修改资源对象。

2.3.1 MutatingWebhookConfiguration

用于注册变更 Webhook，在资源持久化之前修改资源对象。典型用途包括：注入 Sidecar、设置默认值、添加标签/注解。

apiVersion: admissionregistration.k8s.io/v1
kind: MutatingWebhookConfiguration
metadata:
  name: example-mutating-webhook
webhooks:
- name: mutate.example.com
  clientConfig:
    service:
      name: webhook-service
      namespace: default
      path: /mutate
    caBundle: LS0tLS1CRUdJTiBDRV...  # Base64 编码的 CA 证书
  rules:
  - operations: ["CREATE", "UPDATE"]
    apiGroups: ["apps"]
    apiVersions: ["v1"]
    resources: ["deployments"]
    scope: "Namespaced"
  admissionReviewVersions: ["v1"]
  sideEffects: None
  timeoutSeconds: 10
  reinvocationPolicy: IfNeeded

2.3.2 ValidatingWebhookConfiguration

用于注册校验 Webhook，在资源持久化之前验证资源对象是否符合预期。典型用途包括：资源配额校验、安全策略检查、命名规范验证。

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: example-validating-webhook
webhooks:
- name: validate.example.com
  clientConfig:
    service:
      name: webhook-service
      namespace: default
      path: /validate
    caBundle: LS0tLS1CRUdJTiBDRV...
  rules:
  - operations: ["CREATE", "UPDATE", "DELETE"]
    apiGroups: [""]
    apiVersions: ["v1"]
    resources: ["pods"]
    scope: "Namespaced"
  admissionReviewVersions: ["v1"]
  sideEffects: None
  timeoutSeconds: 5
  failurePolicy: Fail

2.3.3 关键字段对比