Kubernetes: admission-политики без отдельного webhook-сервера

При создании или обновлении ресурса Kubernetes может проверить запрос или изменить объект до его сохранения. Для этого доступны встроенные Admission Policies: правила выполняются внутри API-сервера.

Есть два типа:

• ValidatingAdmissionPolicy — проверяет запрос на соответствие правилам. Например, разрешает образы только из доверенного реестра.
• MutatingAdmissionPolicy — изменяет объект перед сохранением. Например, добавляет недостающие метки или значения по умолчанию.

Политики используют выражения CEL. Доступность конкретного типа зависит от версии и настроек кластера.

Подробный разбор

✈️ Linux Ninja