Kubernetes 准入控制机制：Admission Webhook 工作原理与配置

Kubernetes 准入控制（Admission Control）是 API Server 请求处理链路中的关键安全与策略执行环节。当请求完成认证（Authentication）与鉴权（Authorization）之后、对象被持久化到 etcd 之前，准入控制器会拦截请求并执行校验或修改逻辑。其中，Admission Webhook 是一种可扩展的准入控制器，允许集群管理员通过外部 HTTP 回调实现自定义策略，也是 OPA/Kyverno 等策略引擎的常见集成方式。

2.1 Admission Webhook 工作原理

Admission Webhook 本质上是一个由 API Server 触发的 HTTP 回调。其核心流程如下：

1. 请求到达 API Server：用户或控制器通过 kubectl、客户端库或 REST 调用向 API Server 发送资源操作请求（如创建 Pod）。
2. 认证与鉴权：API Server 首先验证请求者身份，并检查其是否具备操作权限。
3. 准入控制链：通过认证与鉴权后，请求进入准入控制阶段。API Server 按顺序执行一系列内置和动态配置的准入控制器。
4. Webhook 触发：当请求匹配 Webhook 配置中定义的规则（如针对特定资源、操作或命名空间）时，API Server 构造一个 AdmissionReview 对象，通过 HTTPS 发送到注册的外部 Webhook 服务。
5. 外部服务处理：Webhook 服务解析 AdmissionReview，执行策略逻辑（如检查资源配额、验证安全上下文），并返回包含允许/拒绝决策或补丁（Patch）的 AdmissionReview 响应。
6. 决策执行：API Server 根据 Webhook 响应决定是否继续处理请求、修改对象或拒绝请求。
7. 持久化：如果所有准入控制器均通过，对象被写入 etcd 并返回给客户端。

2.2 Mutating 与 Validating Webhook 区别

Kubernetes 支持两种类型的 Admission Webhook，它们在准入控制链中执行顺序和功能不同：

2.3 Webhook 配置示例

以下是一个完整的 ValidatingWebhookConfiguration 示例，用于演示如何配置一个外部 OPA 服务作为准入控制器：

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: opa-validating-webhook
webhooks:
  - name: validate-pod.opa.example.com
    clientConfig:
      service:
        name: opa-service
        namespace: opa-system
        path: /v1/admit
      caBundle: <base64-encoded-ca-cert>
    rules:
      - operations: ["CREATE", "UPDATE"]
        apiGroups: [""]
        apiVersions: ["v1"]
        resources: ["pods"]
        scope: "Namespaced"
    failurePolicy: Fail
    matchPolicy: Equivalent
    sideEffects: None
    timeoutSeconds: 5
    admissionReviewVersions: ["v1", "v1beta1"]
    namespaceSelector:
      matchLabels:
        opa-enabled: "true"
    objectSelector:
      matchLabels:
        app: production

对应的 MutatingWebhookConfiguration 配置结构类似，但 kind 为 MutatingWebhookConfiguration，且响应中需包含 patch 字段：

apiVersion: admissionregistration.k8s.io/v1
kind: MutatingWebhookConfiguration
metadata:
  name: opa-mutating-webhook
webhooks:
  - name: mutate-pod.opa.example.com
    clientConfig:
      service:
        name: opa-service
        namespace: opa-system
        path: /v1/mutate
      caBundle: <base64-encoded-ca-cert>
    rules:
      - operations: ["CREATE"]
        apiGroups: [""]
        apiVersions: ["v1"]
        resources: ["pods"]
    failurePolicy: Fail
    sideEffects: None
    timeoutSeconds: 3
    admissionReviewVersions: ["v1"]
    reinvocationPolicy: IfNeeded