Istio更新报错IST0139：MutatingWebhookConfiguration重复问题咨询

错误重现 #

执行istioctl install进行配置更新时触发如下错误：

Error [IST0139] (MutatingWebhookConfiguration istio-sidecar-injector) Webhook overlaps with others: [istio-revision-tag-default/rev.object.sidecar-injector.istio.io]. This may cause injection to occur twice.

错误原因 #

这个错误的核心是集群中存在功能重叠的Sidecar注入Webhook：

• 当前要更新的istio-sidecar-injector，与已存在的istio-revision-tag-default/rev.object.sidecar-injector.istio.io，两者的注入规则（如命名空间选择器、目标资源类型）完全一致。
• 这类冲突通常源于多版本Istio的安装或修订版本（revision）切换：比如之前通过带revision的方式部署Istio，后续切换到默认revision时，旧revision的Webhook未被清理，或者手动创建的revision tag关联了旧Webhook，导致新旧Webhook同时生效且规则重叠。

是否需要删除Webhook配置？ #

不要直接盲目删除，先做确认再操作：

1. 先查看当前集群的Istio修订版本和tag关联：

   istioctl tag list
   

2. 对比两个Webhook的配置，确认哪个是废弃的：

   kubectl get mutatingwebhookconfiguration istio-sidecar-injector -o yaml
   kubectl get mutatingwebhookconfiguration rev.object.sidecar-injector.istio.io -o yaml
   

3. 若rev.object.sidecar-injector.istio.io属于已废弃的旧修订版本，且没有Pod依赖其注入，可安全删除：

   kubectl delete mutatingwebhookconfiguration rev.object.sidecar-injector.istio.io
   

4. 若不确定依赖关系，可先给旧Webhook添加禁用标识（如修改其命名空间选择器，或添加sidecar.istio.io/inject: "false"标签），确认集群Pod运行正常后再删除。

为何Istio无法直接更新这些Webhook？ #

• Istio的Webhook配置与**修订版本（revision）**强绑定，不同revision的Webhook是独立的Kubernetes资源，命名和标识完全不同。istioctl install只会更新当前指定revision下的资源，不会自动清理其他revision的资源——这是Istio为多版本共存（如灰度升级）场景设计的，避免误删仍在使用的旧版本资源。
• 由于两个Webhook的资源名称不同，Istio无法将它们识别为同一资源进行增量更新，只能检测到规则冲突并抛出错误，防止重复注入导致Pod启动异常。

内容的提问来源于stack exchange，提问作者voipp