当前位置：首页 > 文章列表 > Golang > Go教程 > 用Golang开发K8s准入控制器教程

用Golang开发K8s准入控制器教程

2025-11-23 17:57:33 0浏览收藏

**用Golang开发K8s动态准入控制器指南：拦截与处理资源请求** 在Kubernetes中，动态准入控制是实现安全策略和自定义配置的关键。本文将指导你如何使用Golang构建一个外部webhook类型的准入控制器。准入控制器作为Kubernetes的插件，能够拦截并处理资源请求，实现修改或拒绝API请求，在对象被持久化之前进行额外校验或注入配置。本文将详细介绍搭建HTTPS Webhook服务、解析AdmissionReview结构、编写Mutating和Validating逻辑，以及部署到集群并配置ValidatingWebhookConfiguration等关键步骤。通过本文，你将掌握使用Golang开发K8s动态准入控制器的核心技术，为你的Kubernetes集群保驾护航。

准入控制器是Kubernetes中用于拦截并处理资源请求的插件，实现动态准入控制的关键手段之一是使用Golang编写外部webhook类型的控制器。具体步骤包括：1.搭建基础结构，使用Golang写一个监听/mutate和/validate路径的HTTPS Webhook服务；2.解析请求内容，从AdmissionReview结构中提取资源信息；3.编写Mutating逻辑（如为Pod添加标签）和Validating逻辑（如拒绝无资源限制的容器）；4.部署到集群，配置ValidatingWebhookConfiguration并生成TLS证书，确保服务可被访问。通过以上步骤即可完成基本的Admission Controller实现。

如何用Golang编写K8s Admission Controller 解析动态准入控制

编写 Kubernetes 的 Admission Controller 是实现动态准入控制的关键手段之一。Golang 作为 Kubernetes 的原生开发语言，自然是首选。下面从几个关键点出发，带你了解如何用 Golang 实现一个基本的 K8s Admission Controller。

准入控制器是什么？为什么需要它？

Admission Controller（准入控制器）是 Kubernetes 中用于拦截并处理资源请求的插件。它可以修改或拒绝 API 请求，在对象被持久化之前进行额外校验或注入配置。例如：

在 Pod 创建时自动注入 sidecar 容器
拒绝没有指定资源限制的容器
校验自定义 CRD 是否符合规范

Kubernetes 支持内置和外部准入控制器，我们这里说的是构建外部的、可部署的 webhook 类型控制器。

搭建基础结构：写一个简单的 HTTP Server

Admission Controller 本质上是一个 HTTPS Webhook 服务，监听特定路径并返回响应。你不需要自己实现整个 Kubernetes API，只需要处理 /mutate 和 /validate 路径下的请求。

package main

import (
    "fmt"
    "net/http"

    "github.com/gin-gonic/gin"
)

func main() {
    r := gin.Default()

    r.POST("/mutate", mutateHandler)
    r.POST("/validate", validateHandler)

    fmt.Println("Starting server on :443")
    // 注意：需要 TLS 证书
    r.RunTLS(":443", "server.crt", "server.key")
}

关键点：

必须使用 HTTPS，否则 Kubernetes 不会信任
接口路径必须与 Kubernetes 配置中一致
控制器应支持 /healthz 端点用于健康检查

解析请求内容：理解 AdmissionReview 结构

Kubernetes 发送的请求体是 AdmissionReview 对象，包含请求元数据和资源信息。你需要从中提取出原始资源内容（如 Pod、Deployment 等）。

type AdmissionReview struct {
    Request *AdmissionRequest `json:"request,omitempty"`
    Response *AdmissionResponse `json:"response,omitempty"`
}

type AdmissionRequest struct {
    UID string `json:"uid"`
    Kind metav1.GroupVersionKind `json:"kind"`
    Resource metav1.GroupVersionResource `json:"resource"`
    Object runtime.RawExtension `json:"object"`
}

解析建议：

使用标准库中的 json.Unmarshal 或 k8s.io/apimachinery 工具解析
提取 Object.Raw 字段后，再反序列化为具体的资源类型（如 Pod）
注意处理不同版本资源（比如 v1.Pod vs apps/v1.Deployment）

编写 Mutating 和 Validating 逻辑

Mutating 示例：给所有 Pod 添加标签

func mutatePod(raw []byte) ([]byte, error) {
    var pod corev1.Pod
    if err := json.Unmarshal(raw, &pod); err != nil {
        return nil, err
    }

    if pod.Labels == nil {
        pod.Labels = make(map[string]string)
    }
    pod.Labels["managed-by"] = "my-admission-controller"

    return json.Marshal(pod)
}

然后构造 Patch，并封装成 AdmissionResponse 返回。

Validating 示例：拒绝没有资源限制的容器

遍历每个容器，检查 Resources.Limits 是否为空：

for _, container := range pod.Spec.Containers {
    if container.Resources.Limits.Cpu().IsZero() ||
       container.Resources.Limits.Memory().IsZero() {
        return false, "container missing resource limits"
    }
}

验证失败时，返回 AdmissionResponse{Allowed: false} 即可。

部署到集群：配置 ValidatingWebhookConfiguration

写好代码只是第一步，还需要在 Kubernetes 中注册这个 webhook。创建一个 ValidatingWebhookConfiguration 或 MutatingWebhookConfiguration，示例片段如下：

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: my-validator
webhooks:
  - name: my-validator.example.com
    clientConfig:
      service:
        namespace: default
        name: my-admission-service
      caBundle: <base64 encoded CA cert>
    rules:
      - apiGroups: [""]
        apiVersions: ["v1"]
        resources: ["pods"]
        operationTypes: ["CREATE"]
    failurePolicy: Fail
    sideEffects: None
    timeoutSeconds: 5

注意点：