bohlenc/k8s-pod-mutator-init

k8s-pod-mutator-init 镜像说明

镜像概述

本镜像为Kubernetes Mutating Admission Webhook的初始化容器，用于自动化证书生成及相关配置（如将caBundle应用到MutatingWebhookConfiguration），确保Webhook与Kubernetes API服务器通过HTTPS通信，支持对Pod清单进行灵活变异，满足透明添加功能或执行合规政策的需求。

核心功能

• 自动化证书生成，满足K8s API服务器对Webhook的HTTPS通信要求；
• 配置MutatingWebhookConfiguration的caBundle，简化Webhook部署流程；
• 配合Webhook实现对Pod清单的任意变异（如添加元数据、容器、卷或修改配置）。

使用场景

• 在K8s部署中需透明变异Pod清单以添加功能（如注入init容器）；
• 执行合规政策或强制要求，无需修改现有应用部署配置；
• 简化Webhook的证书管理流程，降低部署复杂度。

配置说明

--patch

指定包含Pod变异补丁的YAML文件路径，支持通配符（*）应用到所有容器/init容器/卷，可同时包含通配符和常规操作（目前每种类型仅支持一个通配符）。

--log-level

设置日志级别，可选值：panic | fatal | error | warn | info | debug | trace。

安装步骤（Helm）

1. 调整deploy/helm目录下的values.yaml至需求；
2. 执行安装命令：

   bash
   helm install k8s-pod-mutator deploy/helm -f deploy/helm/values.yaml
   

默认Webhook可通过https://<service_name>:8443/mutate访问。

示例

为带特定标签的Pod添加init容器

针对Azure SDK的问题，安装时使用示例配置：

bash
helm upgrade --install k8s-pod-mutator deploy/helm -f values.yaml -f examples/values.example.yaml

该示例会为带有aadpodidbinding标签的Pod添加init容器：

yaml
spec:
  initContainers:
    - name: wait-for-imds
      image: docker.xuanyuan.run/busybox:1.33
      command: ['sh', '-c', 'wget "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/" --header "Metadata: true" -S --spider -T 6']

为所有容器添加证书卷

使用如下补丁可将ca证书卷挂载到所有容器：

yaml
spec:
  initContainers:
  - name: ca
    image: docker.xuanyuan.run/alpine
    command: ["sh", "-c", "cp -r /etc/ssl/certs /volume"]
    volumeMounts:
    - mountPath: /volume
      name: cacerts
  containers:
  - name: "*"
    volumeMounts:
    - mountPath: /etc/ssl
      name: cacerts
  volumes:
  - name: cacerts
    emptyDir: {}

贡献与许可

欢迎通过Issue或Pull Request提交改进建议，本镜像基于MIT许可证开源。