在OpenShift中创建新Project/Namespace时添加内部Webhook方案咨询

方案1：OpenShift Event Listener + Tekton Pipeline #

这是实时触发的标准方案，利用OpenShift事件系统和Tekton流水线完成自动化操作：

• 创建Event Listener，专门监听Project资源的ADDED事件（即新Project创建时的事件）
• 定义Tekton Pipeline，包含具体任务：比如通过oc create命令或直接调用K8s API，在新Project内创建指定的Secrets/ConfigMaps
• 绑定Event Listener与Pipeline，确保事件触发时流水线自动执行
• 给流水线使用的服务账号配置足够权限：比如创建ClusterRole允许在任意命名空间创建Secrets/ConfigMaps，再绑定给流水线服务账号

示例Event Listener配置片段：

apiVersion: triggers.tekton.dev/v1beta1
kind: EventListener
metadata:
  name: project-created-listener
spec:
  triggers:
    - name: project-added-trigger
      interceptors:
        - ref:
            name: "kubernetes"
          params:
            - name: "resource"
              value: "projects"
            - name: "eventTypes"
              value: ["ADDED"]
      bindings:
        - ref: project-created-binding
      template:
        ref: project-created-template

方案2：自定义Kubernetes Operator #

如果需要更灵活的逻辑（比如根据Project的标签/注解决定创建哪些资源），可以编写自定义Operator：

• 用Operator SDK快速初始化项目，设置监听Project资源的创建事件
• 在Operator的Reconcile逻辑中，检测到新Project后，按照预设规则生成对应的Secrets/ConfigMaps
• 将Operator部署到集群，确保它拥有操作所有Project内资源的权限

方案3：CronJob轮询（非实时备选） #

如果对实时性要求不高，轮询方式简单易实现：

• 创建CronJob，定期执行脚本查询集群内所有Project
• 脚本维护一个已处理Project的列表（存储在ConfigMap中），对比找出新增的Project
• 对每个新增Project，执行创建Secrets/ConfigMaps的命令
• 更新ConfigMap中的已处理列表，避免重复操作

示例脚本片段：

#!/bin/bash
# 获取所有Project名称
ALL_PROJECTS=$(oc get projects -o jsonpath='{.items[*].metadata.name}')
# 读取已处理的Project列表，不存在则为空
PROCESSED_PROJECTS=$(oc get configmap processed-projects -n your-operator-ns -o jsonpath='{.data.projects}' 2>/dev/null || echo "")

for project in $ALL_PROJECTS; do
  if [[ ! $PROCESSED_PROJECTS =~ $project ]]; then
    # 创建共享Secret
    oc create secret generic shared-secret --from-literal=db-password=xxx -n $project
    # 创建共享ConfigMap
    oc create configmap shared-config --from-literal=api-url=https://example.com -n $project
    # 更新已处理列表
    PROCESSED_PROJECTS="$PROCESSED_PROJECTS $project"
  fi
done

# 把更新后的列表存回ConfigMap
oc create configmap processed-projects --from-literal=projects="$PROCESSED_PROJECTS" -n your-operator-ns --dry-run=client -o yaml | oc apply -f -

方案4：自定义Project Request模板 #

OpenShift自带Project Request机制，修改模板就能在创建Project时自动附带资源：

• 编写自定义的Project Request Template，里面除了Project资源，还要包含要创建的Secrets/ConfigMaps（注意指定命名空间为${PROJECT_NAME}）
• 修改OpenShift的project.config.openshift.io/cluster配置，将默认的Project Request模板替换为自定义模板
• 之后用户创建Project时，OpenShift会自动根据模板生成Project和里面的共享资源

示例模板片段：

apiVersion: template.openshift.io/v1
kind: Template
metadata:
  name: custom-project-request
objects:
- apiVersion: project.openshift.io/v1
  kind: Project
  metadata:
    name: ${PROJECT_NAME}
    annotations:
      openshift.io/description: ${PROJECT_DESCRIPTION}
      openshift.io/display-name: ${PROJECT_DISPLAYNAME}
- apiVersion: v1
  kind: Secret
  metadata:
    name: shared-db-secret
    namespace: ${PROJECT_NAME}
  data:
    password: eHh4 # base64编码的xxx
- apiVersion: v1
  kind: ConfigMap
  metadata:
    name: shared-app-config
    namespace: ${PROJECT_NAME}
  data:
    env: production
parameters:
- name: PROJECT_NAME
- name: PROJECT_DESCRIPTION
- name: PROJECT_DISPLAYNAME

内容的提问来源于stack exchange，提问作者uniwinux