实现一个MutatingAdmissionWebhook

Tue, 18 Jun 2024 19:25:16 +0800

概述

在 Kubernetes 中，准入控制是保障 API 请求安全和合规性的重要机制。它在 API 请求流程中扮演着关键角色，拦截即将发送到 Kubernetes APIServer的请求，在持久化之前，但在身份验证和授权之后。其位置如下图所示：

图片来源https://sysdig.com/blog/kubernetes-admission-controllers/

准入控制器适用于创建、删除或修改对象的请求，同时也可以阻止自定义动作。读操作会绕过准入控制层，不会受到准入控制器的影响。当有多个准入控制器存在时，它们会依次被调用，只要其中一个准入控制器拒绝请求，整个请求就会被立即驳回。

准入控制常常被用来自动化设置默认资源请求和限制、应用标签和注释以及强制命名约定等管理任务。

准入控制分两个阶段：

需要注意的是，部分控制器兼具变更准入和验证准入的功能。

启用准入

`1`	`kube-apiserver --enable-admission-plugins=NamespaceLifecycle,LimitRanger ...`

关闭准入

`1`	`kube-apiserver --disable-admission-plugins=PodNodeSelector,AlwaysDeny ...`

准入的两种类型：

动态准入控制器：

MutatingAdmissionWebhook

此准入控制器调用任何与请求匹配的变更（Mutating） Webhook。匹配的 Webhook 将被顺序调用
ValidatingAdmissionWebhook

此准入控制器调用与请求匹配的所有验证性 Webhook。匹配的 Webhook 将被并行调用。如果其中任何一个拒绝请求，则整个请求将失败。该准入控制器仅在验证（Validating）阶段运行
ValidatingAdmissionPolicy

验证准入策略使用通用表达语言 (Common Expression Language，CEL) 来声明策略的验证规则，是一种声明式的、进程内的验证准入 Webhook 方案
MutatingAdmissionPolicy

提供了一种声明式的、进程内的方案，可以用来替代变更性准入 Webhook

步骤概览

实现一个 MutatingAdmissionWebhook 主要包括以下几个步骤：

生成证书，Kubernetes 和 Webhook 服务使用 TLS 加密通信
1. APIServer对Webhook的认证
2. Webhook对APIServer的认证（可选）
实现一个接口，接收AdmissionReview请求，解析并填充response字段，响应相同版本的AdmissionReview
部署上面接口，集群内外都可以
注册准入控制器
监控 Admission Webhook

以下面需求为例：

Mon, 09 Nov 2020 16:56:00 +0800

本文主要说明如何让普通用户通过证书认证授权的方式访问kubernetes集群资源