Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 597

Admission Controller Kubernetes

Что такое Admission Controller Kubernetes?

Admission Controller KubernetesAdmission controller — плагин API-сервера Kubernetes, перехватывающий аутентифицированные запросы до сохранения, чтобы по политике валидировать, изменять или отклонять объекты.

Допуск в Kubernetes идёт в две фазы: mutating-контроллеры могут изменять объект (значения по умолчанию, инъекция sidecar), а validating-контроллеры — принять или отклонить. Встроенные контроллеры включают NamespaceLifecycle, ResourceQuota, ServiceAccount, Pod Security и ImagePolicyWebhook. Внешние регистрируются как MutatingWebhookConfiguration или ValidatingWebhookConfiguration, получают JSON AdmissionReview и возвращают вердикт; ValidatingAdmissionPolicy (1.28+) встраивает CEL-правила прямо в API. Допуск — главная точка применения политик безопасности (PSS, подпись образов, гигиена меток), и сюда подключаются OPA Gatekeeper и Kyverno. Сбои вебхуков могут парализовать кластер, поэтому failurePolicy и тайм-ауты нужно настраивать аккуратно.

● Примеры

  1. 01

    Mutating-вебхук внедряет sidecar Istio в каждый новый pod в помеченном namespace.

  2. 02

    ValidatingAdmissionPolicy отклоняет Deployments без runAsNonRoot.

● Частые вопросы

Что такое Admission Controller Kubernetes?

Admission controller — плагин API-сервера Kubernetes, перехватывающий аутентифицированные запросы до сохранения, чтобы по политике валидировать, изменять или отклонять объекты. Относится к категории Облачная безопасность в кибербезопасности.

Что означает Admission Controller Kubernetes?

Admission controller — плагин API-сервера Kubernetes, перехватывающий аутентифицированные запросы до сохранения, чтобы по политике валидировать, изменять или отклонять объекты.

Как работает Admission Controller Kubernetes?

Допуск в Kubernetes идёт в две фазы: mutating-контроллеры могут изменять объект (значения по умолчанию, инъекция sidecar), а validating-контроллеры — принять или отклонить. Встроенные контроллеры включают NamespaceLifecycle, ResourceQuota, ServiceAccount, Pod Security и ImagePolicyWebhook. Внешние регистрируются как MutatingWebhookConfiguration или ValidatingWebhookConfiguration, получают JSON AdmissionReview и возвращают вердикт; ValidatingAdmissionPolicy (1.28+) встраивает CEL-правила прямо в API. Допуск — главная точка применения политик безопасности (PSS, подпись образов, гигиена меток), и сюда подключаются OPA Gatekeeper и Kyverno. Сбои вебхуков могут парализовать кластер, поэтому failurePolicy и тайм-ауты нужно настраивать аккуратно.

Как защититься от Admission Controller Kubernetes?

Защита от Admission Controller Kubernetes обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия Admission Controller Kubernetes?

Распространённые альтернативные названия: Admission webhook, ValidatingAdmissionPolicy.

● Связанные термины