本文介绍Kubernetes v1.30.3中Admission链的机制与排障。请求经AuthN、AuthZ后进入Admission，分Mutating和Validating两阶段，失败即返回错误，不写入etcd。内置插件如NamespaceLifecycle、LimitRanger、ResourceQuota在注册入口装配。Webhook集成有超时和failurePolicy，争议在于fail-open与fail-closed的可用性/安全性权衡。排障时需区分Admission轴与存储问题。

本文介绍kube-apiserver排障方法，提出五轴坐标系：Storage/etcd、Watch/cache、Admission、Auth、APF。通过症状映射表快速定位问题轴，如401/403查Auth，503查Admission，504查APF，410查Watch。强调先定轴再下钻，避免误操作，并列出关键metrics和命令，区分apiserver与etcd问题，指导高效排障。

本文介绍kube-apiserver生产内核系列，聚焦控制面故障排障，以Storage/Watch/Admission/Auth/APF五轴为坐标系，规划16篇阅读路线。内容涵盖请求路径、watch cache、resourceVersion、Webhook、APF等机制，版本锚定Kubernetes v1.30.3，旨在帮助SRE归因504、410等错误，区分直连etcd与apiserver排障边界。

本文拆解kube-apiserver请求路径，从TLS终止到etcd写入，需经过APF流控、认证、授权、Admission等拦截点。APF在认证前，Admission在REST handler内。请求失败时需区分是Webhook拒绝、APF排队还是etcd问题，不能简单归因于etcd慢。GVR路由将请求映射到对应storage实现。

本篇介绍一款基于策略/规则的 kubernetes webhook - kinitiras, 一个轻量，强大且可编程的策略引擎。该引擎提供强大的编程和模板能力，可以通过规则完成绝大部分的对 webhook 的需求。