关于UPDATE触发的Admission Webhook修改Kubernetes Pod环境变量的疑问

1. 能否通过由UPDATE操作触发的Admission Control Webhook修改Kubernetes Pod的环境变量？ #

不行。Kubernetes中Pod的spec.containers[*].env属于不可变字段，Pod创建完成后，该字段不允许被修改。即使Admission Webhook在UPDATE操作时返回了修改环境变量的补丁，kube-apiserver也会因为字段不可变的校验规则拒绝这个更新请求。

2. 是否有办法查看Mutate Webhook的补丁是如何应用的？ #

有几种实用方法：

• 开启kube-apiserver的详细日志：调整kube-apiserver启动参数--v=4（或更高级别），日志中会包含AdmissionReview的完整请求和响应内容，其中就包含Webhook生成的补丁信息。
• 使用kubectl的verbose模式：执行UPDATE操作时加上--v=6参数，比如kubectl update pod xxx --v=6，可以看到kubectl与apiserver之间的API交互细节，包括Webhook返回的补丁。
• 在Webhook服务中添加日志：在Webhook代码里记录接收到的AdmissionRequest和要发送的AdmissionResponse（尤其是其中的patch字段），直接查看Webhook自身的运行日志。

3. 当前我可修改Pod元数据，但无法修改环境变量，而CREATE操作时该功能正常。 #

这是正常的行为差异：

• Pod的元数据（如labels、annotations）属于可更新字段，UPDATE操作时允许修改，因此Webhook可以正常完成修改。
• 环境变量属于Pod spec的不可变字段，如第一个问题所述，Pod创建后无法通过UPDATE操作修改，即使Webhook生成了对应的补丁，也会被kube-apiserver的字段校验拦截，所以无法生效。而CREATE操作时Pod还未被创建，不存在字段不可变的限制，因此Webhook可以正常修改环境变量。

内容的提问来源于stack exchange，提问作者pTrik