1. 什么是admissionWebhooks？
admissionWebhooks是Kubernetes的一种高级特性，它允许集群管理员通过Webhook服务来验证和修改提交到Kubernetes API服务器的资源请求。这些资源请求可以包括创建、更新或删除Kubernetes对象，如Pod、Service、Deployment等。
参考文档：
2. admissionWebhooks类型
admissionWebhooks分为两种主要类型：
Validating Webhooks：这些Webhooks用于验证资源请求是否符合自定义规则。如果请求不符合规则，它将被拒绝。这有助于防止不正确或不安全的配置进入集群。例如，我们可以强制执行名称约定、安全策略或其他最佳实践。
Mutating Webhooks：这些Webhooks用于自动修改或补充资源请求。它们可以用于自动添加默认值、生成TLS证书、自动注入侧边车（sidecar）容器等。Mutating Webhooks允许我们以自动化的方式改善和定制资源配置。
3. 使用场景
admissionWebhooks在Kubernetes中有广泛的应用场景，以下是一些常见的用例：
安全性强制执行：管理员可以使用Validating Webhooks来确保Kubernetes资源遵循安全性最佳实践。例如，我们可以拒绝未经授权的镜像或容器访问。
默认值注入：使用Mutating Webhooks，我们可以自动向Pod或其他资源添加默认配置。这有助于简化配置，降低人为错误的风险。
自动TLS证书管理：通过Mutating Webhooks，我们可以自动为Ingress或其他资源生成和管理TLS证书，从而简化了HTTPS配置。
自动扩展功能：通过自定义验证规则和变更配置，我们可以增强Kubernetes的功能。例如，我们可以强制执行自定义认证、流量控制或其他策略。
4. 部署和配置
要配置和部署admissionWebhooks，我们需要执行以下一般步骤：
1、创建Webhook服务：首先，我们需要创建一个Webhook服务，它将处理资源请求的验证或变更。这个服务通常运行在Kubernetes集群中，并能够接收来自Kubernetes API服务器的HTTP请求。
2、创建Webhook资源：创建一个ValidatingWebhookConfiguration或MutatingWebhookConfiguration资源，以定义Webhook的配置。这个资源将包含Webhook的名称、URL、验证规则和选择器等信息。
3、部署Webhook服务：确保Webhook服务能够正常运行并监听来自Kubernetes API服务器的请求。
4、测试和验证：测试Webhook配置，确保它们按预期工作。创建或更新资源，并检查验证规则或配置变更是否按预期生效。
5、绑定ClusterRole和ClusterRoleBinding：为Webhook服务创建必要的ClusterRole和ClusterRoleBinding，以确保它具有适当的权限。
6、监控和日志：设置监控和日志以监视Webhook服务的性能和运行状况，以及及时发现和解决问题。
5. 小结
admissionWebhooks是Kubernetes中强大的安全性和验证机制，允许管理员通过自定义验证规则和配置变更来增强集群的安全性和功能。它们可以用于强制执行安全性策略、添加默认配置、自动生成证书等多种用途。虽然配置和部署admissionWebhooks可能需要一些工作，但它们为Kubernetes提供了更大的灵活性和可定制性，以满足不同环境和应用程序的需求。因此，对于需要强大的安全性和配置管理的Kubernetes集群来说，admissionWebhooks是不可或缺的工具之一。
