Kubernetes中如何链式调用Mutating Webhook并指定执行顺序？

是的，Kubernetes支持通过配置**优先级（priority）和副作用（sideEffects）**字段，实现Mutating Webhook的链式执行（按指定顺序依次处理请求，再进入Validating阶段）。

核心配置要点 #

1. 优先级（priority）：

   • 给每个Mutating Webhook设置不同的priority数值，数值越高，执行顺序越靠前。
   • 相同优先级的Webhook执行顺序是随机的，必须通过不同数值明确指定顺序。

2. 副作用（sideEffects）：

   • 将Webhook的sideEffects设置为None或NoneOnDryRun，确保API Server会把前一个Webhook修改后的资源对象传递给下一个Webhook处理。如果设置为Some，API Server会让每个Webhook处理原始请求，就会出现你当前遇到的并行执行情况。

修改后的配置示例 #

Mutating-config-1（高优先级，先执行）

apiVersion: admissionregistration.k8s.io/v1
kind: MutatingWebhookConfiguration
metadata:
  name: Mutating-config-1
webhooks:
  - name: webhook-server-1.test.svc
    rules:
      - apiGroups: ["apps"]
        apiVersions: ["v1"]
        operations: ["CREATE"]
        resources: ["deployments"]
        scope: "*"
    clientConfig:
      service:
        namespace: test
        name: webhook-server-1
        path: /mutate
        port: 443
    priority: 100
    sideEffects: None
    admissionReviewVersions: ["v1"]

Mutating-config-2（低优先级，后执行）

apiVersion: admissionregistration.k8s.io/v1
kind: MutatingWebhookConfiguration
metadata:
  name: Mutating-config-2
webhooks:
  - name: webhook-server-2.test.svc
    rules:
      - apiGroups: ["apps"]
        apiVersions: ["v1"]
        operations: ["CREATE"]
        resources: ["deployments"]
        scope: "*"
    clientConfig:
      service:
        namespace: test
        name: webhook-server-2
        path: /mutate
        port: 443
    priority: 50
    sideEffects: None
    admissionReviewVersions: ["v1"]

额外说明 #

• 配置完成后，执行流程会变为：API Server → Mutating Webhook 1 → Mutating Webhook 2 → Validating Webhooks，符合你的需求。
• 所有Mutating Webhook执行完成（且全部通过）后，才会进入Validating Webhook阶段，这是Kubernetes的固定执行流程。
• 你的Webhook服务器需要兼容处理经过前一个Webhook修改后的资源对象，避免因字段已被修改而出现异常。

内容的提问来源于stack exchange，提问作者SanVEE