Admission Controller Kubernetes

Définition

Les Admission Controllers sont des composants du kube-apiserver Kubernetes qui interceptent les requêtes API après l'authentification et l'autorisation, mais avant que les objets soient persistés dans etcd. Ils peuvent valider, modifier, ou rejeter des requêtes de création/modification de ressources Kubernetes. Ils constituent le dernier rempart pour enforcer des politiques de sécurité, indépendamment des droits RBAC de l'utilisateur. Il existe deux types d'Admission Controllers. Les Validating Admission Controllers (validation pure) inspectent une requête et l'acceptent ou la rejettent selon des critères définis. Les Mutating Admission Controllers peuvent modifier la requête avant sa persistence (ex: injecter un sidecar, ajouter des labels, définir des valeurs par défaut). Un objet peut passer par plusieurs admission controllers en séquence. Les Admission Controllers intégrés dans Kubernetes incluent : PodSecurity (successeur des PSP, applique les Pod Security Standards), LimitRanger (impose des limites de ressources sur les pods), ResourceQuota (vérifie les quotas de namespace), NamespaceLifecycle (empêche la création dans des namespaces terminaux), NodeRestriction (restreint ce que les kubelets peuvent modifier). Les Webhook Admission Controllers (ValidatingWebhookConfiguration et MutatingWebhookConfiguration) permettent de déléguer l'admission à des services externes. OPA Gatekeeper et Kyverno utilisent ce mécanisme pour implémenter des politiques de sécurité complexes non couvertes par les contrôleurs intégrés. Vault Agent Injector utilise un MutatingWebhook pour injecter son sidecar. Les risques liés aux Admission Controllers incluent : la désactivation accidentelle d'un contrôleur critique (l'API Kubernetes permettant cela sans validation), les Webhooks avec des timeouts élevés pouvant ralentir tout le cluster, et les Webhooks en mode failOpen (si le webhook est indisponible, les requêtes sont acceptées sans validation - comportement opposé à failClosed).