DEV Community
·
Kubernetes Admission Controllers：你不知道的守门人
💡
原文英文，约500词，阅读约需2分钟。
📝
内容提要
Kubernetes的Admission Controllers是拦截API请求的插件，负责在资源创建前进行验证和修改，确保集群的安全性和一致性。分为变更控制器和验证控制器，内置如NamespaceLifecycle和LimitRanger等，支持通过Webhook实现自定义逻辑。
🎯
关键要点
- Kubernetes的Admission Controllers是拦截API请求的插件，负责在资源创建前进行验证和修改。
- Admission Controllers分为变更控制器和验证控制器，分别用于修改请求和执行策略。
- 请求处理流程包括身份验证、授权、Admission Control和存储到etcd。
- Kubernetes内置了多种Admission Controllers，如NamespaceLifecycle、LimitRanger和PodSecurity等。
- 动态Admission Controllers（Webhook）允许定义外部HTTP回调，以实现自定义逻辑。
- 可以通过编写Webhook服务器来实现完全控制Admission请求。
- Admission Controllers是确保集群安全性和一致性的最后防线，尤其在多租户环境和生产工作负载中至关重要。
❓
延伸问答
Kubernetes的Admission Controllers是什么？
Admission Controllers是拦截API请求的插件，负责在资源创建前进行验证和修改。
Admission Controllers的主要类型有哪些？
主要分为变更控制器和验证控制器，分别用于修改请求和执行策略。
Admission Controllers在请求处理流程中起什么作用？
它们在身份验证和授权后，决定请求是否被允许或修改，然后再存储到etcd。
Kubernetes内置了哪些Admission Controllers？
内置的Admission Controllers包括NamespaceLifecycle、LimitRanger和PodSecurity等。
什么是动态Admission Controllers？
动态Admission Controllers通过Webhook允许定义外部HTTP回调，以实现自定义逻辑。
如何编写自己的Admission Webhook？
需要编写一个小型服务器，部署在集群内，并创建相应的Webhook配置资源。
➡️
