Admission Controller とは？

Kubernetesにリソースを作成・更新する要求などが来たとき、認証と認可の後で内容を点検するよ。たとえばPodの設定にルールを適用して、条件に合わない要求を拒否できる。作成や更新では、保存される前に働くんだ。

Mutatingは要求内のリソースを変更でき、Validatingは変更せずに検証するよ。処理はMutatingの段階、その後にValidatingの段階へ進む。拒否できるのはValidatingだけではなく、どちらかで拒否されたら要求全体が止まるんだ。

Istioのサイドカーモードでは、Mutating Admission Webhookで対象Podにプロキシを追加できるよ。ただし注入を有効にしたNamespaceやPodなど、設定に合うものが対象。全Podに無条件で追加されるわけではなく、Podの作成時に働くんだ。

独自の検証や変更を行うWebhookを設定する方法があるよ。APIサーバー内で宣言的なルールを扱うAdmission Policyもある。どの要求に適用するかを設定し、クラスタの版と有効な機能を確認して使おう。

取得・一覧・変更の監視でオブジェクトを読む要求はAdmissionの層を通らないよ。読み取りを許可するかは認可などで制御する。Admissionは認証・認可の代わりではなく、削除や一部の接続要求も含め、対象となる要求に追加のルールを適用する仕組みなんだ。