【k8s】在ingress-controlller中Admission Webhook 的作用

时间：2024-12-18 07:20:13

   介绍1

     在 NGINX Ingress Controller 中，Admission Webhook 是一种用于增强 Kubernetes API 请求的机制，它允许你在资源（如 Ingress）被创建或更新之前对这些请求进行验证或修改。具体来说，Admission Webhook 在 NGINX Ingress Controller 中扮演了两个主要角色：

  1. Validating Admission Webhook：

    • 作用：验证传入的 API 请求是否符合预定义的规则和条件。
    • 工作原理：当用户尝试创建或更新一个 Ingress 资源时，API Server 会将请求发送给 Validating Admission Webhook 进行验证。如果请求不符合预期（例如配置错误或违反了某些策略），Webhook 可以拒绝该请求并返回错误信息给用户。
    • 目的：确保只有正确配置且合法的 Ingress 资源才能被创建或更新，从而防止不正确的配置进入系统。

  2. Mutating Admission Webhook：

    • 作用：在资源创建或更新前自动修改 API 请求的内容。
    • 工作原理：与 Validating Admission Webhook 类似，但在验证之后，Mutating Admission Webhook 可以修改传入的请求，添加默认值、修正配置项等，然后再将修改后的请求提交给 API Server。
    • 目的：简化用户的配置过程，自动应用最佳实践或集群特定的设置，确保所有资源都遵循一致的标准。

在 NGINX Ingress Controller 中的具体实现

对于 NGINX Ingress Controller 来说，Admission Webhook 主要用于以下场景：

  • Ingress 资源验证：确保所有的 Ingress 配置都是有效的，并且不会导致 NGINX 配置文件生成失败或其他问题。

  • 自动注入注解：为 Ingress 资源添加必要的注解或默认值，比如 SSL 证书管理、负载均衡策略等。

  • TLS 终止配置：处理 TLS 相关的配置，如自动生成和管理 SSL 证书，确保 HTTPS 流量能够正确终止于 Ingress Controller。

  • CRD 支持：一些高级功能可能依赖于自定义资源定义（Custom Resource Definitions, CRDs），此时 Mutating 和 Validating Admission Webhooks 可以帮助管理这些自定义资源。

Admission Webhook 的组成部分

  1. Webhook 服务：一个运行中的 Pod 或 Deployment，负责处理来自 API Server 的 HTTP(S) 请求。这个服务通常由 NGINX Ingress Controller 的控制器组件提供。

  2. Service 资源：为 Webhook 服务提供稳定的网络端点，API Server 使用此 Service 的 DNS 名称和端口来调用 Webhook。

  3. Webhook Configuration 资源：ValidatingWebhookConfiguration 和 MutatingWebhookConfiguration 定义了何时以及如何调用 Webhook。它们包含 Webhook 的 URL 或 Service 引用、规则、选择器以及其他配置信息。

  4. TLS 证书：用于加密 API Server 和 Webhook 服务之间的通信，确保数据传输的安全性和完整性。

总结

Admission Webhook 在 NGINX Ingress Controller 中是一个重要的特性，它通过在资源创建或更新前执行额外的验证和修改步骤，增强了系统的安全性和稳定性。这不仅有助于防止错误配置，还能自动化一些常见的配置任务，提高用户体验

介绍2

     在 NGINX Ingress Controller 中，Admission Webhook 是一种用于增强 Kubernetes API 请求处理的机制，它允许你在资源（如 Ingress）被创建或更新之前对这些请求进行验证或修改。具体来说，Admission Webhook 在 NGINX Ingress Controller 中主要指的是两个方面的工作：验证和变更请求。

Validating Admission Webhook

  • 作用：验证传入的 API 请求是否符合预定义的规则和条件。
  • 工作原理：当用户尝试创建或更新一个 Ingress 资源时，API Server 会将请求发送给 Validating Admission Webhook 进行验证。如果请求不符合预期（例如配置错误或违反了某些策略），Webhook 可以拒绝该请求并返回错误信息给用户。
  • 目的：确保只有正确配置且合法的 Ingress 资源才能被创建或更新，从而防止不正确的配置进入系统

Mutating Admission Webhook

  • 作用：在资源创建或更新前自动修改 API 请求的内容。
  • 工作原理：与 Validating Admission Webhook 类似，但在验证之后，Mutating Admission Webhook 可以修改传入的请求，添加默认值、修正配置项等，然后再将修改后的请求提交给 API Server。
  • 目的：简化用户的配置过程，自动应用最佳实践或集群特定的设置，确保所有资源都遵循一致的标准

在 NGINX Ingress Controller 中的具体实现

对于 NGINX Ingress Controller 来说，Admission Webhook 主要用于以下场景：

  • Ingress 资源验证：确保所有的 Ingress 配置都是有效的，并且不会导致 NGINX 配置文件生成失败或其他问题

  • 自动注入注解：为 Ingress 资源添加必要的注解或默认值，比如 SSL 证书管理、负载均衡策略等

  • TLS 终止配置：处理 TLS 相关的配置，如自动生成和管理 SSL 证书，确保 HTTPS 流量能够正确终止于 Ingress Controller

  • CRD 支持：一些高级功能可能依赖于自定义资源定义（Custom Resource Definitions, CRDs），此时 Mutating 和 Validating Admission Webhooks 可以帮助管理这些自定义资源

Admission Webhook 的组成部分

  1. Webhook 服务：一个运行中的 Pod 或 Deployment，负责处理来自 API Server 的 HTTP(S) 请求。这个服务通常由 NGINX Ingress Controller 的控制器组件提供。

  2. Service 资源：为 Webhook 服务提供稳定的网络端点，API Server 使用此 Service 的 DNS 名称和端口来调用 Webhook

  3. Webhook Configuration 资源：ValidatingWebhookConfiguration 和 MutatingWebhookConfiguration 定义了何时以及如何调用 Webhook。它们包含 Webhook 的 URL 或 Service 引用、规则、选择器以及其他配置信息

  4. TLS 证书：用于加密 API Server 和 Webhook 服务之间的通信，确保数据传输的安全性和完整性。这些证书通常是通过 Helm Chart 自动生成，或者手动创建并通过 Kubernetes Secret 管理

总结

       Admission Webhook 在 NGINX Ingress Controller 中是一个重要的特性，它通过在资源创建或更新前执行额外的验证和修改步骤，增强了系统的安全性和稳定性。这不仅有助于防止错误配置，还能自动化一些常见的配置任务。此外，Admission Webhook 的存在也意味着 NGINX Ingress Controller 不仅仅是简单的反向代理，而是具有更深层次集成能力的 Kubernetes 组件，它可以参与到 Kubernetes API 请求的生命周期中，确保集群内资源的一致性和安全性

相关文章