5.6.7. 定义 webhook

Webhook 允许 Operator 作者在资源被保存到对象存储并由 Operator 控制器处理之前，拦截、修改、接受或拒绝资源。当 webhook 与 Operator 一同提供时，Operator Lifecycle Manager（OLM）可以管理这些 webhook 的生命周期。

Operator 的集群服务版本(CSV)资源可能包含 webhookdefinitions 部分，以定义以下 Webhook 类型：

Admission webhook（validating and mutating）
webhook 转换

流程

在 Operator 的 spec 部分添加 webhookdefinitions 部分，并使用 ValidatingAdmissionWebhook、MutatingAdmissionWebhook 或 ConversionWebhook type 包括任何 webhook 定义。以下示例包含所有三种类型的 Webhook:

包含 Webhook 的 CSV

  apiVersion: operators.coreos.com/v1alpha1
  kind: ClusterServiceVersion
  metadata:
    name: webhook-operator.v0.0.1
  spec:
    customresourcedefinitions:
      owned:
      - kind: WebhookTest
        name: webhooktests.webhook.operators.coreos.io 
        version: v1
    install:
      spec:
        deployments:
        - name: webhook-operator-webhook
          ...
          ...
          ...
      strategy: deployment
    installModes:
    - supported: false
      type: OwnNamespace
    - supported: false
      type: SingleNamespace
    - supported: false
      type: MultiNamespace
    - supported: true
      type: AllNamespaces
    webhookdefinitions:
    - type: ValidatingAdmissionWebhook 
      admissionReviewVersions:
      - v1beta1
      - v1
      containerPort: 443
      targetPort: 4343
      deploymentName: webhook-operator-webhook
      failurePolicy: Fail
      generateName: vwebhooktest.kb.io
      rules:
      - apiGroups:
        - webhook.operators.coreos.io
        apiVersions:
        - v1
        operations:
        - CREATE
        - UPDATE
        resources:
        - webhooktests
      sideEffects: None
      webhookPath: /validate-webhook-operators-coreos-io-v1-webhooktest
    - type: MutatingAdmissionWebhook 
      admissionReviewVersions:
      - v1beta1
      - v1
      containerPort: 443
      targetPort: 4343
      deploymentName: webhook-operator-webhook
      failurePolicy: Fail
      generateName: mwebhooktest.kb.io
      rules:
      - apiGroups:
        - webhook.operators.coreos.io
        apiVersions:
        - v1
        operations:
        - CREATE
        - UPDATE
        resources:
        - webhooktests
      sideEffects: None
      webhookPath: /mutate-webhook-operators-coreos-io-v1-webhooktest
    - type: ConversionWebhook 
      admissionReviewVersions:
      - v1beta1
      - v1
      containerPort: 443
      targetPort: 4343
      deploymentName: webhook-operator-webhook
      generateName: cwebhooktest.kb.io
      sideEffects: None
      webhookPath: /convert
      conversionCRDs:
      - webhooktests.webhook.operators.coreos.io 
...

  apiVersion: operators.coreos.com/v1alpha1
  kind: ClusterServiceVersion
  metadata:
    name: webhook-operator.v0.0.1
  spec:
    customresourcedefinitions:
      owned:
      - kind: WebhookTest
        name: webhooktests.webhook.operators.coreos.io


        version: v1
    install:
      spec:
        deployments:
        - name: webhook-operator-webhook
          ...
          ...
          ...
      strategy: deployment
    installModes:
    - supported: false
      type: OwnNamespace
    - supported: false
      type: SingleNamespace
    - supported: false
      type: MultiNamespace
    - supported: true
      type: AllNamespaces
    webhookdefinitions:
    - type: ValidatingAdmissionWebhook


      admissionReviewVersions:
      - v1beta1
      - v1
      containerPort: 443
      targetPort: 4343
      deploymentName: webhook-operator-webhook
      failurePolicy: Fail
      generateName: vwebhooktest.kb.io
      rules:
      - apiGroups:
        - webhook.operators.coreos.io
        apiVersions:
        - v1
        operations:
        - CREATE
        - UPDATE
        resources:
        - webhooktests
      sideEffects: None
      webhookPath: /validate-webhook-operators-coreos-io-v1-webhooktest
    - type: MutatingAdmissionWebhook


      admissionReviewVersions:
      - v1beta1
      - v1
      containerPort: 443
      targetPort: 4343
      deploymentName: webhook-operator-webhook
      failurePolicy: Fail
      generateName: mwebhooktest.kb.io
      rules:
      - apiGroups:
        - webhook.operators.coreos.io
        apiVersions:
        - v1
        operations:
        - CREATE
        - UPDATE
        resources:
        - webhooktests
      sideEffects: None
      webhookPath: /mutate-webhook-operators-coreos-io-v1-webhooktest
    - type: ConversionWebhook


      admissionReviewVersions:
      - v1beta1
      - v1
      containerPort: 443
      targetPort: 4343
      deploymentName: webhook-operator-webhook
      generateName: cwebhooktest.kb.io
      sideEffects: None
      webhookPath: /convert
      conversionCRDs:
      - webhooktests.webhook.operators.coreos.io

...

Copy to Clipboard

Toggle word wrap

1: 转换 Webhook 的目标 CRD 必须在这里存在。
2: 验证准入 Webhook。
3: 变异准入 Webhook。
4: 转换 Webhook。
5: 每个 CRD 的 spec.PreserveUnknownFields 属性必须设置为 false 或 nil。

5.6.7.1. 针对 OLM 的 Webhook 注意事项
复制链接

使用 Operator Lifecycle Manager（OLM）部署带有 webhook 的 Operator 时，您必须定义以下内容：

type 字段必须设置为 ValidatingAdmissionWebhook、MutatingAdmissionWebhook 或 ConversionWebhook，否则 CSV 会进入失败的阶段。
CSV 必须包含一个部署，它的名称相当于 webhookdefinition 的 deploymentName 字段中提供的值。

创建 webhook 时，OLM 确保 webhook 仅在与 Operator 部署的 Operator 组相匹配的命名空间上操作。

证书颁发机构限制

将 OLM 配置为为每个部署提供一个单独的证书颁发机构（CA）。将 CA 生成并挂载到部署的逻辑最初由 API 服务生命周期逻辑使用。因此：

TLS 证书文件挂载到部署的 /apiserver.local.config/certificates/apiserver.crt。
TLS 密钥文件挂载到部署的 /apiserver.local.config/certificates/apiserver.key。

Admission webhook 规则约束

为防止 Operator 将集群配置为无法恢复的状态，OLM 如果准入 webhook 中定义的规则拦截了以下请求中的规则，则 OLM 会将 CSV 放置到失败的阶段：

请求目标所有组
请求以 operators.coreos.com 组为目标
请求目标为 ValidatingWebhookConfigurations 或 MutatingWebhookConfigurations 资源

转换 Webhook 约束

如果转换 Webhook 定义未遵循以下限制，OLM 会将 CSV 放置到失败的阶段：

带有转换 Webhook 的 CSV 只能支持 AllNamespaces 安装模式。
转换 Webhook 的目标 CRD 必须将其 spec.preserveUnknownFields 字段设置为 false 或 nil。
CSV 中定义的转换 webhook 必须针对拥有的 CRD。
在整个集群中，给定 CRD 只能有一个转换 Webhook。

返回顶部

5.6.7. 定义 webhook

5.6.7.1. 针对 OLM 的 Webhook 注意事项
复制链接

证书颁发机构限制

Admission webhook 规则约束

转换 Webhook 约束

学习

尝试、购买和销售

社区

关于红帽文档

让开源更具包容性

關於紅帽

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links

5.6.7. 定义 webhook

5.6.7.1. 针对 OLM 的 Webhook 注意事项复制链接链接已复制到粘贴板!

证书颁发机构限制

Admission webhook 规则约束

转换 Webhook 约束

学习

尝试、购买和销售

社区

关于红帽文档

让开源更具包容性

關於紅帽

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links

5.6.7.1. 针对 OLM 的 Webhook 注意事项
复制链接