Kubernetes准入控制器（或Webhook控制器）CONNECT操作含义及文档问询

一、CONNECT操作的具体含义 #

在Kubernetes准入控制器（包括Webhook准入控制器）中，CONNECT操作是专门针对API Server代理的TCP连接请求的准入校验类型。

当执行kubectl exec、kubectl port-forward、kubectl attach这类需要通过API Server代理访问集群内部Pod/服务端口的操作时，客户端会向API Server发送CONNECT请求，API Server再将请求转发到目标Pod的对应端口。准入控制器的CONNECT操作，就是在API Server处理这类代理请求前，对请求的合法性、发起者权限等进行校验，最终决定是否允许该代理连接建立。

二、官方文档记载位置 #

关于CONNECT操作的官方说明，主要分布在以下几处Kubernetes官方文档中：

• 动态准入控制章节：介绍Webhook准入控制器支持的操作类型时，明确CONNECT用于代理类请求的准入校验。
• API Server代理功能文档：在说明API Server的TCP代理机制时，会关联准入控制对CONNECT请求的处理逻辑。
• 准入控制器官方参考手册：在准入控制器支持的操作类型列表中，包含CONNECT的定义及适用场景。

你提供的代码是Kubernetes源码中对准入操作类型的定义，对应源码文件为k8s.io/apiserver/pkg/admission/interfaces.go：

// Operation is the type of resource operation being checked for admission control
type Operation string

// Operation constants
const (
    Create  Operation = "CREATE"
    Update  Operation = "UPDATE"
    Delete  Operation = "DELETE"
    Connect Operation = "CONNECT"
)

内容的提问来源于stack exchange，提问作者user7610