bohlenc/k8s-pod-mutator-webhook

k8s-pod-mutator-webhook

这是一个Kubernetes变异准入Webhook（详见：https://kubernetes.io/docs/reference/access-authn-authz/extensible-admission-controllers/）。它可对Pod清单应用任意修改（即“补丁”），包括添加或修改元数据、容器、初始化容器及卷等。

Kubernetes API服务器仅支持通过HTTPS与Webhook通信，因此该镜像包含一个初始化容器，用于自动生成证书及完成必要配置（如将caBundle应用到MutatingWebhookConfiguration）。

问题背景

在Kubernetes部署中，经常需要透明地修改Pod清单——无论是为现有部署和应用透明添加新功能，还是执行合规及其他策略要求。本Webhook为此类问题提供了灵活且可扩展的解决方案。

显著选项

--patch

指向包含补丁的YAML文件路径（Pod结构参考：https://kubernetes.io/docs/reference/generated/kubernetes-api/v1.20/#pod-v1-core）。

补丁支持使用通配符（"*"）替代容器、初始化容器或卷的具体名称。若使用通配符，操作将应用于所有现有容器/初始化容器/卷（见示例）。

补丁可同时包含通配符和常规操作。目前每个类型（容器/初始化容器/卷）仅支持一个通配符。

--log-level

日志级别选项：panic | fatal | error | warn | info | debug | trace

安装

Helm

1. 根据需求调整deploy/helm目录下的values.yaml；
2. 通过以下命令安装Chart：helm install k8s-pod-mutator deploy/helm -f deploy/helm/values.yaml。

默认情况下，Webhook可通过"[***]<service_name>:8443/mutate"访问。

示例

问题：https://github.com/Azure/azure-sdk-for-net/issues/***

要应用https://github.com/Azure/azure-sdk-for-net/issues/***#issuecomment-771116456提出的解决方法，只需使用提供的示例值安装Helm Chart：

helm upgrade --install k8s-pod-mutator deploy/helm -f values.yaml -f examples/values.example.yaml。

该示例会向所有带有标签aadpodidbinding的Pod添加一个初始化容器：

yaml
spec:
  initContainers:
    - name: wait-for-imds
      image: docker.xuanyuan.run/busybox:1.33
      command: ['sh', '-c', 'wget "http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://management.azure.com/" --header "Metadata: true" -S --spider -T 6']

功能请求：https://github.com/bohlenc/k8s-pod-mutator-webhook/issues/3

考虑以下补丁：

yaml
spec:
  initContainers:
  - name: ca
    image: docker.xuanyuan.run/alpine
    command: ["sh", "-c", "cp -r /etc/ssl/certs /volume"]
    volumeMounts:
    - mountPath: /volume
      name: cacerts
  containers:
  - name: "*"
    volumeMounts:
    - mountPath: /etc/ssl
      name: cacerts
  volumes:
  - name: cacerts
    emptyDir: {}

应用此补丁时，会向Pod中所有现有容器添加cacerts卷挂载。

贡献

若您认为有任何缺失、需要修复或可改进之处，欢迎提交问题或拉取请求。

许可证

MIT