Kubernetes中如何将API Server请求重定向至其他服务并实现自定义验证？

你需要的正是Kubernetes的准入控制Webhook（Admission Webhook）——这就是专门用来拦截发往API Server的请求、执行自定义逻辑（比如你要的验证）后，再决定是否允许请求继续执行的机制，完全匹配你说的“先经过自定义服务验证再执行资源创建”的需求。

核心类型与适用场景 #

Kubernetes提供两种准入Webhook，你的场景用验证型就足够：

• 验证型准入Webhook（Validating Admission Webhook）：专注于验证逻辑，检查请求中的资源是否符合自定义规则，验证通过则允许请求继续执行；不通过则直接拒绝并返回原因。
• 突变型准入Webhook（Mutating Admission Webhook）：可修改请求中的资源内容（比如自动注入Sidecar、补全默认字段），之后再进入验证或执行阶段。

实现核心步骤 #

1. 编写自定义Webhook服务
   用任意你熟悉的语言（Go、Python、Java等）实现一个HTTP服务，暴露一个接收请求的端点（比如/validate）。这个服务需要：

   • 接收API Server发送的AdmissionReview请求，里面包含待创建的资源对象、请求上下文等信息。
   • 根据你的需求编写验证逻辑：比如检查Pod镜像是否在白名单、Deployment副本数是否符合限制、资源标签是否合规等。
   • 返回AdmissionResponse，标记请求是否允许（allowed: true或false，拒绝时需附带原因）。

2. 配置HTTPS证书
   API Server与Webhook服务之间必须通过HTTPS通信，所以需要为Webhook服务配置证书：

   • 可以手动生成自签名证书，或者用K8s生态的cert-manager自动签发和管理证书。
   • 证书的CA部分需要编码为base64，后续配置Webhook时要用到。

3. 注册Webhook到Kubernetes
   创建ValidatingWebhookConfiguration资源，告诉API Server要拦截哪些请求、转发到哪个Webhook服务。示例配置片段：

   apiVersion: admissionregistration.k8s.io/v1
   kind: ValidatingWebhookConfiguration
   metadata:
     name: custom-resource-validator
   webhooks:
     - name: validator.yourdomain.com
       clientConfig:
         service:
           name: webhook-service
           namespace: default
           path: "/validate"
         caBundle: <你的CA证书base64编码内容>
       rules:
         - apiGroups: ["", "apps"] # 拦截核心组和apps组的资源
           apiVersions: ["v1"]
           operations: ["CREATE"] # 只拦截创建操作
           resources: ["pods", "deployments"] # 指定要拦截的资源类型
       admissionReviewVersions: ["v1"]
       sideEffects: None
       failurePolicy: Fail # Webhook不可用时拒绝请求，可选设为Ignore放行
   

关键注意事项 #

• Webhook服务必须在集群内可访问，需配置对应的Service和Endpoint；如果是外部服务，要确保API Server能路由到。
• 证书配置必须准确，否则API Server会因无法信任Webhook而直接拒绝请求。
• 验证逻辑要尽量高效，避免长时间阻塞API请求；可以考虑对高频请求做缓存优化。
• 根据业务需求设置failurePolicy：如果Webhook不可用对业务影响大，设为Fail；如果允许降级，设为Ignore。

内容的提问来源于stack exchange，提问作者ambikanair