如何用curl测试Kubernetes验证Webhook？请求失败排查

核心原因 #

你的curl请求直接传入了Cluster资源的YAML文件，但Kubernetes验证Webhook要求的请求格式是AdmissionReview结构，而非原始资源定义。错误信息里的unknown operation ""，就是因为请求中缺少Webhook必需的operation等关键字段。

修改步骤 #

1. 构造符合规范的AdmissionReview请求体
   创建一个包含Cluster资源的AdmissionReview JSON文件（比如命名为admission-review.json），示例结构如下：

   {
     "apiVersion": "admission.k8s.io/v1",
     "kind": "AdmissionReview",
     "request": {
       "uid": "test-uid-123",
       "kind": {
         "group": "cluster.x-k8s.io",
         "version": "v1beta1",
         "kind": "Cluster"
       },
       "resource": {
         "group": "cluster.x-k8s.io",
         "version": "v1beta1",
         "resource": "clusters"
       },
       "operation": "CREATE", // 根据测试场景选择CREATE/UPDATE/DELETE
       "object": {
         // 此处粘贴capi-cluster.yaml中的Cluster内容，并转换为JSON格式
         "apiVersion": "cluster.x-k8s.io/v1beta1",
         "kind": "Cluster",
         "metadata": {
           "name": "test-cluster"
         },
         "spec": {
           // 你的Cluster spec配置内容
         }
       }
     }
   }
   

2. 调整curl命令
   使用新的请求体文件发送请求，确保Content-Type正确：

   curl --insecure -X POST -H "Content-Type: application/json" \
       --data-binary @admission-review.json \
       https://127.0.0.1:9443/validate-cluster-x-k8s-io-v1beta1-cluster
   

3. 快速转换YAML到JSON（可选）
   若不想手动转换格式，可使用yq工具将capi-cluster.yaml转为JSON：

   yq eval -o json capi-cluster.yaml
   

关键注意点 #

• operation字段必须明确指定，可选值为CREATE、UPDATE、DELETE，对应你要测试的操作场景。
• request.uid可填写任意测试用的唯一标识字符串。
• AdmissionReview的apiVersion需匹配Kubernetes版本：1.19+用admission.k8s.io/v1，更低版本改用v1beta1。

内容的提问来源于stack exchange，提问作者guettli