Kubernetes Admission Controllers 深度解析

Kubernetes Admission Controllers 深度解析

website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website

概述

在 Kubernetes 中，Admission Controllers（准入控制器）是 API 服务器的重要组成部分，它在资源持久化之前对请求进行拦截和检查。本文将深入探讨准入控制器的工作原理、核心功能以及如何配置使用。

准入控制器是什么？

准入控制器是 Kubernetes API 服务器中的一段代码，它在请求通过身份验证和授权后，但在资源被持久化之前执行检查。这些控制器可以：

1. 拦截创建、修改或删除对象的请求
2. 阻止自定义动词（如通过 API 服务器代理连接到 Pod）
3. 不会阻止读取（get、watch 或 list）请求

准入控制器分为两种类型：

• Mutating（变更型）：可以修改请求中的资源数据
• Validating（验证型）：仅验证请求，不修改数据

为什么需要准入控制器？

Kubernetes 的许多重要功能都依赖于准入控制器的正确配置。没有适当配置准入控制器的 API 服务器是不完整的，无法支持所有预期功能。

准入控制器的工作流程

准入控制过程分为两个阶段：

1. 变更阶段：运行 Mutating 准入控制器
2. 验证阶段：运行 Validating 准入控制器

如果任一阶段的任何控制器拒绝请求，整个请求将立即被拒绝，并向最终用户返回错误。

核心准入控制器详解

Kubernetes 提供了多种内置准入控制器，以下是部分重要控制器的功能说明：

AlwaysPullImages

类型：Mutating 和 Validating

强制所有新 Pod 的镜像拉取策略为 Always，确保在多租户集群中，只有拥有凭证的用户才能使用私有镜像。

DefaultStorageClass

类型：Mutating

为没有指定存储类的 PersistentVolumeClaim 自动添加默认存储类，简化用户操作。

ResourceQuota

类型：Validating

监控集群资源使用情况，确保不超过命名空间级别的资源配额限制。

PodSecurity

类型：Validating

实施 Pod 安全标准，确保 Pod 配置符合安全策略要求。

EventRateLimit

类型：Validating

防止 API 服务器被大量事件请求淹没，支持四种限流策略：

• 服务器级别
• 命名空间级别
• 用户级别
• 来源和对象组合级别

如何启用和配置准入控制器

启用准入控制器

使用 --enable-admission-plugins 标志启用特定控制器：

kube-apiserver --enable-admission-plugins=NamespaceLifecycle,LimitRanger ...

禁用准入控制器

使用 --disable-admission-plugins 标志禁用特定控制器：

kube-apiserver --disable-admission-plugins=PodNodeSelector,AlwaysDeny ...

查看默认启用的控制器

kube-apiserver -h | grep enable-admission-plugins

高级配置选项

Webhook 扩展

Kubernetes 提供了三种特殊控制器用于扩展准入控制功能：

1. MutatingAdmissionWebhook：执行变更型 Webhook
2. ValidatingAdmissionWebhook：执行验证型 Webhook
3. ValidatingAdmissionPolicy：在 API 中嵌入声明式验证代码

这些控制器允许在准入时自定义集群行为。

最佳实践

1. 根据集群需求选择适当的准入控制器组合
2. 生产环境应考虑启用 PodSecurity 等安全相关控制器
3. 使用 Webhook 扩展功能时，确保后端服务高可用
4. 定期审查准入控制策略，确保与业务需求保持一致

总结

准入控制器是 Kubernetes 安全性和功能完整性的重要保障。通过合理配置这些控制器，管理员可以确保集群按照预期运行，同时满足安全性和合规性要求。理解并正确使用准入控制器，是 Kubernetes 集群管理的关键技能之一。

website Kubernetes website and documentation repo: 项目地址: https://gitcode.com/gh_mirrors/webs/website