准入控制扩展点准入控制阶段为什么需要准入控制器怎么关闭准入控制器哪些插件是默认启用的

准入控制器Admission

准入控制器是一段代码它会在请求通过认证和鉴权之后、对象被持久化之前拦截到达

API

变更Mutating控制器可以为正在修改的资源修改数据验证Validating控制器则不行。

Kubernetes

准入控制过程分为两个阶段。

第一阶段运行变更准入控制器。

第二阶段运行验证准入控制器。

如果两个阶段之一的任何一个控制器拒绝了某请求则整个请求将立即被拒绝并向最终用户返回错误。

最后除了对对象进行变更外准入控制器还可能有其它副作用将相关资源作为请求处理的一部分进行变更。

此类用法都需要相应的回收或回调过程因为任一准入控制器都无法确定某个请求能否通过所有其它准入控制器。

为什么需要准入控制器

的多个重要特性需要按顺序启用某个准入控制器才能正确支持对应的特性。

因此如果

--enable-admission-pluginsNamespaceLifecycle,LimitRanger

根据你

--disable-admission-pluginsPodNodeSelector,AlwaysDeny

kube-apiserver

这在多租户集群中是有用的这样用户就可以放心他们的私有镜像只能被那些有凭证的人使用。

Pod

启用这个准入控制器之后启动容器之前必须拉取镜像这意味着需要有效的凭证。

CertificateApproval

kubernetes.io/kube-apiserver-client

资源创建请求并拒绝所有将

“ingressclass.kubernetes.io/is-default-class”。

此准入控制器会忽略所有

这样没有任何特殊存储类需求的用户根本不需要关心它们它们将被设置为使用默认存储类。

StorageClass

不存在时此准入控制器不执行任何操作。

如果将多个存储类标记为默认存储类

而且你之后在未设置

default-not-ready-toleration-seconds

default-unreachable-toleration-seconds

Pod

node.kubernetes.io/not-readyNoExecute

node.kubernetes.io/unreachableNoExecute

default-not-ready-toleration-seconds

default-unreachable-toleration-seconds

Service

--admission-control-config-file

EventRateLimit

请求共享一个桶。

Namespace每个名字空间都对应一个专用的桶。

User为每个用户分配一个桶。

SourceAndObject根据事件的来源和涉及对象的各种组合分配桶。

eventconfig.yaml

eventratelimit.admission.k8s.io/v1alpha1

kind:

如果启用了此准入控制器会将此类污点的容忍度自动添加到请求扩展资源的

Pod

LimitPodHardAntiAffinityTopology

AntiAffinity

requiredDuringSchedulingRequiredDuringExecution

LimitRanger

MutatingAdmissionWebhook顾名思义仅在变更阶段运行。

Webhook

MutatingAdmissionWebhook那么还必须使用

--runtime-config

admissionregistration.k8s.io/v1

此准入控制器会检查针对名字空间域资源的所有传入请求并检查所引用的名字空间是否确实存在。

此准入控制器对于不想要求名字空间必须先创建后使用的集群部署很有用。

NamespaceExists

的请求被拒绝。

该准入控制器还会禁止删除三个系统保留的名字空间即

default、

的删除操作会触发一系列删除该名字空间中所有对象Pod、Service

NodeRestriction

node-restriction.kubernetes.io/

Node

beta.kubernetes.io/instance-type

node.kubernetes.io/instance-type

failure-domain.beta.kubernetes.io/region已弃用

failure-domain.beta.kubernetes.io/zone已弃用

node.kubernetes.io/

OwnerReferencesPermissionEnforcement

delete

metadata.ownerReferences[x].blockOwnerDeletion

属主owner

此准入控制器通过读取名字空间注解和全局配置来为名字空间中可以使用的节点选择器设置默认值并实施限制。

PodSecurity

scheduler.alpha.kubernetes.io/defaultTolerations

scheduler.alpha.kubernetes.io/tolerationsWhitelist

优先级

kubernetes.io/enforce-mountable-secrets

Secret

admissionregistration.k8s.io/v1alpha1

特性门控组/版本被启用时

ValidatingAdmissionWebhook还必须通过

--runtime-config

admissionregistration.k8s.io/v1

https://kubernetes.io/zh-cn/docs/reference/command-line-tools-reference/kube-apiserver/#options