EKS准入控制器调用失败：部署Bottlerocket OS集群遇请求超时问题

针对你在Bottlerocket OS的高安全EKS集群中遇到的Webhook超时错误，结合你已验证的服务端点、标签匹配及curl可访问的情况，可从以下几个方向排查解决：

1. 检查Bottlerocket节点及集群的网络隔离规则 #

Bottlerocket作为安全优化的操作系统，默认会有更严格的网络限制：

• 排查：
  • 查看kube-system命名空间的NetworkPolicy，确认是否存在限制控制平面（kube-apiserver）访问Webhook服务443端口的规则；
  • 检查Bottlerocket节点的安全组，确保集群控制平面的IP段可访问节点上的容器端口；
  • 查看节点的iptables规则，确认没有拦截集群内部服务流量。
• 解决：
  • 若存在限制NetworkPolicy，添加允许来自kube-apiserver或集群控制平面IP访问Webhook服务的规则；
  • 调整节点安全组，开放控制平面到节点的集群内部服务端口（ClusterIP流量实际走节点端口，需确认Webhook Pod的端口映射配置）。

2. 调整Webhook的超时配置 #

错误中显示timeout=2s，高安全集群中Webhook处理请求可能因安全检查逻辑更复杂而超时：

• 排查：查看ValidatingWebhookConfiguration的超时设置：

  kubectl get validatingwebhookconfigurations <你的Webhook名称> -o yaml | grep timeoutSeconds
  

• 解决：编辑Webhook配置，将超时时间调整为5秒（K8s允许的最大超时为30秒）：

  kubectl edit validatingwebhookconfigurations <你的Webhook名称>
  

  修改timeoutSeconds字段为5，保存后重新测试。

3. 验证TLS证书的有效性 #

kube-apiserver对Webhook的TLS证书验证比curl更严格，可能存在证书SAN不匹配或caBundle配置错误：

• 排查：
  • 用openssl检查Webhook服务的证书：

    kubectl run -it --rm --image=alpine/curl curl-test -- sh -c "openssl s_client -connect image-admission-controller-webhook.kube-system.svc:443"
    

    确认证书的SAN字段包含服务的DNS名称image-admission-controller-webhook.kube-system.svc；
  • 查看ValidatingWebhookConfiguration中的caBundle是否与Webhook使用的CA证书一致。
• 解决：
  • 若证书SAN不匹配，重新生成包含正确DNS名称的证书；
  • 更新ValidatingWebhookConfiguration的caBundle为正确的CA证书base64编码内容。

4. 检查Webhook Pod的资源限制及安全上下文 #

Bottlerocket的containerd运行时可能因Pod资源不足导致处理超时：

• 排查：
  • 查看Webhook Pod的资源使用率：

    kubectl top pods -n kube-system | grep image-admission-controller
    

  • 查看Pod事件，确认是否有OOM或资源受限警告：

    kubectl describe pods -n kube-system <Webhook Pod名称>
    

• 解决：
  • 在Helm values中增加Webhook Pod的CPU和内存请求/限制，例如：

    resources:
      requests:
        cpu: 50m
        memory: 128Mi
      limits:
        cpu: 200m
        memory: 256Mi
    

  • 检查Pod的安全上下文，避免过严的seccomp或apparmor限制影响Webhook的运行。

5. 查看Webhook的运行日志 #

直接查看Webhook Pod的日志，确认是否收到请求及处理过程中的错误：

• 排查：

  kubectl logs -n kube-system <Webhook Pod名称> -f
  

• 解决：根据日志中的错误信息调整配置，例如镜像仓库白名单规则错误、安全上下文检查逻辑异常等。

内容的提问来源于stack exchange，提问作者user1314147