5.6.7. 定义 webhook

Webhook 允许 Operator 作者在资源被保存到对象存储并由 Operator 控制器处理之前，拦截、修改、接受或拒绝资源。当 webhook 与 Operator 一同提供时，Operator Lifecycle Manager（OLM）可以管理这些 webhook 的生命周期。

Operator 的集群服务版本(CSV)资源可能包含 webhookdefinitions 部分，以定义以下 Webhook 类型：

  • Admission webhook（validating and mutating）
  • webhook 转换

流程

  • 在 Operator 的 spec 部分添加 webhookdefinitions 部分，并使用 ValidatingAdmissionWebhook、MutatingAdmissionWebhook 或 ConversionWebhook type 包括任何 webhook 定义。以下示例包含所有三种类型的 Webhook:

    包含 Webhook 的 CSV

      apiVersion: operators.coreos.com/v1alpha1
  kind: ClusterServiceVersion
  metadata:
    name: webhook-operator.v0.0.1
  spec:
    customresourcedefinitions:
      owned:
      - kind: WebhookTest
        name: webhooktests.webhook.operators.coreos.io 1
        version: v1
    install:
      spec:
        deployments:
        - name: webhook-operator-webhook
          ...
          ...
          ...
      strategy: deployment
    installModes:
    - supported: false
      type: OwnNamespace
    - supported: false
      type: SingleNamespace
    - supported: false
      type: MultiNamespace
    - supported: true
      type: AllNamespaces
    webhookdefinitions:
    - type: ValidatingAdmissionWebhook 2
      admissionReviewVersions:
      - v1beta1
      - v1
      containerPort: 443
      targetPort: 4343
      deploymentName: webhook-operator-webhook
      failurePolicy: Fail
      generateName: vwebhooktest.kb.io
      rules:
      - apiGroups:
        - webhook.operators.coreos.io
        apiVersions:
        - v1
        operations:
        - CREATE
        - UPDATE
        resources:
        - webhooktests
      sideEffects: None
      webhookPath: /validate-webhook-operators-coreos-io-v1-webhooktest
    - type: MutatingAdmissionWebhook 3
      admissionReviewVersions:
      - v1beta1
      - v1
      containerPort: 443
      targetPort: 4343
      deploymentName: webhook-operator-webhook
      failurePolicy: Fail
      generateName: mwebhooktest.kb.io
      rules:
      - apiGroups:
        - webhook.operators.coreos.io
        apiVersions:
        - v1
        operations:
        - CREATE
        - UPDATE
        resources:
        - webhooktests
      sideEffects: None
      webhookPath: /mutate-webhook-operators-coreos-io-v1-webhooktest
    - type: ConversionWebhook 4
      admissionReviewVersions:
      - v1beta1
      - v1
      containerPort: 443
      targetPort: 4343
      deploymentName: webhook-operator-webhook
      generateName: cwebhooktest.kb.io
      sideEffects: None
      webhookPath: /convert
      conversionCRDs:
      - webhooktests.webhook.operators.coreos.io 5
...

    1
    转换 Webhook 的目标 CRD 必须在这里存在。
    2
    验证准入 Webhook。
    3
    变异准入 Webhook。
    4
    转换 Webhook。
    5
    每个 CRD 的 spec.PreserveUnknownFields 属性必须设置为 false 或 nil。

其他资源

5.6.7.1. 针对 OLM 的 Webhook 注意事项

使用 Operator Lifecycle Manager（OLM）部署带有 webhook 的 Operator 时，您必须定义以下内容：

  • type 字段必须设置为 ValidatingAdmissionWebhook、MutatingAdmissionWebhook 或 ConversionWebhook，否则 CSV 会进入失败的阶段。
  • CSV 必须包含一个部署，它的名称相当于 webhookdefinition 的 deploymentName 字段中提供的值。

创建 webhook 时，OLM 确保 webhook 仅在与 Operator 部署的 Operator 组相匹配的命名空间上操作。

证书颁发机构限制

将 OLM 配置为为每个部署提供一个单独的证书颁发机构（CA）。将 CA 生成并挂载到部署的逻辑最初由 API 服务生命周期逻辑使用。因此：

  • TLS 证书文件挂载到部署的 /apiserver.local.config/certificates/apiserver.crt。
  • TLS 密钥文件挂载到部署的 /apiserver.local.config/certificates/apiserver.key。
Admission webhook 规则约束

为防止 Operator 将集群配置为无法恢复的状态，OLM 如果准入 webhook 中定义的规则拦截了以下请求中的规则，则 OLM 会将 CSV 放置到失败的阶段：

  • 请求目标所有组
  • 请求以 operators.coreos.com 组为目标
  • 请求目标为 ValidatingWebhookConfigurations 或 MutatingWebhookConfigurations 资源
转换 Webhook 约束

如果转换 Webhook 定义未遵循以下限制，OLM 会将 CSV 放置到失败的阶段：

  • 带有转换 Webhook 的 CSV 只能支持 AllNamespaces 安装模式。
  • 转换 Webhook 的目标 CRD 必须将其 spec.preserveUnknownFields 字段设置为 false 或 nil。
  • CSV 中定义的转换 webhook 必须针对拥有的 CRD。
  • 在整个集群中，给定 CRD 只能有一个转换 Webhook。