4. Kubernetes 准入控制器基础：Admission Webhook 原理、Mutating vs Validating、Webhook 配置

Kubernetes 准入控制器（Admission Controller）是 API Server 请求处理链中的一道关键安全闸门。当用户或组件向 API Server 发送资源创建、更新、删除请求时，请求在通过认证（Authentication）和鉴权（Authorization）之后、资源被持久化到 etcd 之前，会依次经过一系列准入控制器的拦截与校验。本章聚焦于准入控制器中最灵活、最强大的扩展机制——Admission Webhook，它是 Chaos Mesh 实现实验准入与安全治理的核心基础设施。

4.1 Admission Webhook 工作原理

Admission Webhook 本质上是一种 HTTP 回调机制。Kubernetes API Server 将准入请求（AdmissionReview）以 JSON 格式发送给用户注册的外部 Webhook 服务，Webhook 服务处理请求后返回允许或拒绝的决策。整个过程对客户端透明，且不修改 API Server 本身的代码。

4.2 Mutating vs Validating：职责与差异

两种 Webhook 的核心区别在于是否允许修改准入请求中的资源对象。下表从多个维度对比两者的特性：

4.3 Webhook 配置：MutatingWebhookConfiguration

在 Kubernetes 中注册一个 Admission Webhook 需要创建对应的配置资源。对于 Mutating Webhook，使用 MutatingWebhookConfiguration；对于 Validating Webhook，使用 ValidatingWebhookConfiguration。两者的结构几乎相同，唯一的区别在于 apiGroup 和 kind 字段。

以下是一个典型的 MutatingWebhookConfiguration 配置示例：

apiVersion: admissionregistration.k8s.io/v1
kind: MutatingWebhookConfiguration
metadata:
  name: chaos-mesh-mutating-webhook
webhooks:
- name: mutate.chaos-mesh.org
  clientConfig:
    service:
      name: chaos-mesh-webhook-service
      namespace: chaos-mesh
      path: /mutate
    caBundle: <base64-encoded-ca-cert>
  rules:
  - operations: ["CREATE", "UPDATE"]
    apiGroups: ["chaos-mesh.org"]
    apiVersions: ["v1alpha1"]
    resources: ["podchaos", "networkchaos", "stresschaos"]
    scope: "Namespaced"
  failurePolicy: Fail
  sideEffects: None
  admissionReviewVersions: ["v1"]
  timeoutSeconds: 10
  reinvocationPolicy: IfNeeded
  namespaceSelector:
    matchLabels:
      chaos-mesh/enabled: "true"
  objectSelector:
    matchExpressions:
    - key: chaos-mesh/inject
      operator: NotIn
      values: ["false"]

4.4 配置字段详解

理解每个配置字段的含义对于正确部署 Webhook 至关重要。下表列出了核心字段及其说明：

4.5 安全最佳实践

• 最小权限原则： 在 rules 中只声明 Webhook 真正需要处理的资源类型和操作，避免使用通配符 *。
• 使用 namespaceSelector 和 objectSelector： 通过标签选择器缩小 Webhook 的拦截范围，降低 API Server 的负载和延迟。
• 配置合理的 failurePolicy： 对于安全关键的校验（如禁止删除关键资源），使用 Fail；对于辅助性修改（如添加默认注解），使用 Ignore。
• 证书管理： Webhook 服务必须使用 TLS，caBundle 必须正确配置。推荐使用 cert-manager 自动管理证书轮换。
• 幂等性设计： Mutating Webhook 的修改逻辑必须幂等，避免重复调用导致资源状态不一致。
• 监控与告警： 监控 Webhook 的调用延迟、错误率和拒绝率，设置告警阈值。