如何为Kubernetes准入控制器设置限流规则？

Kubernetes 准入控制器本身会拒绝未通过Webhook检查的请求，具备基础请求拦截能力，但原生组件未直接提供针对准入控制器入口的自定义QPS限流配置，你可以通过以下几种方案实现指定阈值的限流需求（比如每秒100次请求的规则）：

• 七层代理侧限流
  在自定义准入Webhook服务前端部署Nginx、Envoy等七层反向代理，直接在代理层配置限流规则，设置每秒处理请求阈值，超出阈值的请求直接由代理返回拒绝响应给kube-apiserver。该方案对K8s集群核心配置侵入性极低，无需调整集群原生参数即可快速落地。
• kube-apiserver启动参数配置限流
  直接修改kube-apiserver的启动参数，通过--admission-control-api-rate-limit配置准入控制阶段的每秒请求阈值，--admission-control-api-burst配置允许的突发流量峰值，比如设置--admission-control-api-rate-limit=100即可实现每秒最多处理100个准入请求，超出阈值的请求会被kube-apiserver直接拒绝。
• 自定义Webhook内置限流逻辑
  如果你使用自研的准入Webhook，可以直接在业务逻辑中集成令牌桶、漏桶等成熟限流算法，按需求配置阈值规则，还可针对不同请求资源类型、请求来源做更精细化的限流策略，超出阈值时直接返回拒绝响应即可。

内容的提问来源于stack exchange，提问作者jtee