Kubernetes（K8s）作为一个强大的容器编排系统，拥有丰富的权限管理机制，其中Webhook是一种灵活且可扩展的权限管理模型。Webhook通过允许集群管理员使用自定义的外部服务进行权限决策，为用户提供了更细粒度的访问控制。本文将深入研究Kubernetes中Webhook的基本概念、核心组件，以及通过详细的示例演示如何实现基于Webhook的权限管理。
Webhook基本概念
Webhook
Webhook是一个HTTP回调，当某个事件发生时，Kubernetes会向预定义的外部服务发送HTTP请求，以实现自定义逻辑。在权限管理中，Webhook用于对访问请求进行验证和授权。Admission Controller
Admission Controller是Kubernetes API Server的一部分，负责处理请求前和请求后的逻辑。通过Webhook，Admission Controller可以调用外部服务进行权限决策，以决定是否接受或拒绝请求。
Webhook核心组件
- Admission Controller配置
要启用Webhook，需要对Kubernetes API Server的Admission Controller进行配置。在kube-apiserver的启动参数中添加以下配置：
--enable-admission-plugins=...,MutatingAdmissionWebhook,ValidatingAdmissionWebhook
--admission-control-config-file=/path/to/admission-config.yaml
这两行代码是 Kubernetes API 服务器启动时使用的命令行参数，用于配置准入控制插件（Admission Control Plugins）。这些插件用于拦截请求并检查其内容是否符合预期规则，从而确保集群资源的安全和正确使用。具体来说：
1. `--enable-admission-plugins=...,MutatingAdmissionWebhook,ValidatingAdmissionWebhook`
这个参数用于启用指定的准入控制插件。这里启用了两个插件：`MutatingAdmissionWebhook` 和 `ValidatingAdmissionWebhook`。它们分别对应于变更准入控制 Webhook（Mutating Admission Webhook）和验证准入控制 Webhook（Validating Admission Webhook）。
- **MutatingAdmissionWebhook**：这种类型的 Webhook 可以修改传入的请求，例如在 Pod 创建之前更改其配置。它允许对资源对象进行变更，以符合某些策略或标准。
- **ValidatingAdmissionWebhook**：这种类型的 Webhook 只能验证传入的请求，确保其符合预期规则，但不能进行修改。如果请求未通过验证，则会被拒绝。
这里的省略号 `...` 表示可能还启用了其他准入控制插件，但在此处未显示全部。
2. `--admission-control-config-file=/path/to/admission-config.yaml`
这个参数指定了包含准入控制配置的文件路径。准入控制配置文件通常使用 YAML 格式编写，可以定义各种准入控制规则、Webhook 配置等。
在这个例子中，`/path/to/admission-config.yaml` 是准入控制配置文件的路径。你需要将其替换为实际的文件路径。
总之，这两行代码用于配置 Kubernetes API 服务器的准入控制插件，以确保集群资源的安全和正确使用。通过启用特定的准入控制插件并指定配置文件，可以根据需求定制准入控制策略。
- Admission Controller配置文件
创建一个Admission Controller的配置文件，指定Webhook的地址和相关参数。例如：
apiVersion: admissionregistration.k8s.io/v1
kind: MutatingWebhookConfiguration
metadata:
name: mutating-webhook.example.com
webhooks:
- name: mutating.example.com
clientConfig:
url: "https://webhook-service.example.com/mutate"
rules:
...
Webhook的使用方法
- 创建Webhook服务
首先，创建一个Webhook服务，该服务负责处理来自Kubernetes的请求。示例Webhook服务可以使用任何支持HTTP的语言和框架。以下是一个简单的示例使用Python Flask框架：
from flask import Flask, request
app = Flask(__name__)
@app.route('/mutate', methods=['POST'])
def mutate():
# 处理来自Kubernetes的请求
admission_review = request.get_json()
# 执行自定义逻辑，修改Pod定义等
# ...
# 返回AdmissionReview响应
return {"response": {"allowed": True}}
- 注册Webhook
在Kubernetes中注册Webhook，将其与Admission Controller关联。使用先前创建的配置文件，通过kubectl命令注册Webhook：
kubectl apply -f webhook-config.yaml
- 验证Webhook生效
创建一个Pod并观察Webhook是否被调用：
apiVersion: v1
kind: Pod
metadata:
name: test-pod
spec:
containers:
- name: nginx
image: nginx
查看Webhook服务的日志，确认是否收到了来自Kubernetes的请求并执行了自定义逻辑。
Webhook示例演示
在示例中，我们将创建一个简单的Webhook服务，用于验证Pod的名称是否符合特定的命名规范。Webhook将拒绝不符合规范的Pod创建请求。
步骤一：创建Webhook服务
创建一个Python Flask应用，监听/mutate端点，验证Pod的名称：
from flask import Flask, request, jsonify
app = Flask(__name__)
@app.route('/mutate', methods=['POST'])
def mutate():
admission_review = request.get_json()
pod_name = admission_review["request"]["object"]["metadata"]["name"]
if not pod_name.startswith("valid-prefix-"):
response = {"response": {"allowed": False, "status": {"reason": "InvalidPodName"}}}
return jsonify(response)
return {"response": {"allowed": True}}
保存为webhook.py。
步骤二：启动Webhook服务
使用以下命令启动Webhook服务：
pip install flask
python webhook.py
步骤三：创建Webhook配置文件
创建一个Admission Controller的配置文件，指定Webhook的地址：
apiVersion: admissionregistration.k8s.io/v1
kind: MutatingWebhookConfiguration
metadata:
name: pod-name-validator
webhooks:
- name: pod-name-validator.example.com
clientConfig:
url: "http://localhost:5000/mutate"
rules:
- operations: ["CREATE"]
apiGroups: [""]
apiVersions: ["v1"]
resources: ["pods"]
namespaceSelector:
matchLabels:
environment: "production"
保存为webhook-config.yaml。
步骤四：注册Webhook
使用以下命令注册Webhook：
kubectl apply -f webhook-config.yaml
步骤五：创建不符合规范的Pod
创建一个不符合规范的Pod：
apiVersion: v1
kind: Pod
metadata:
name: invalid-pod
spec:
containers:
- name: nginx
image: nginx
你会发现该Pod的创建请求被拒绝，因为它的名称不符合规范。
结论
通过本文，我们深入了解了Kubernetes中权限管理模型Webhook的基本概念、核心组件，并通过详细的示例演示了如何创建一个简单的Webhook服务，以及如何使用Webhook实现对Pod创建请求的权限控制。Webhook为Kubernetes提供了一种可扩展且灵活的权限管理方式，能够满足各种复杂的权限控制需求。在实际使用中，可以根据业务需求，定义和注册不同的Webhook服务，以实现更细粒度的权限控制。
