Mutating Webhook
Kubernetes-Admission-Controller-Erweiterung, die Objekte VOR dem Speichern verändern kann. Nimmt eingehendes YAML entgegen, liefert einen JSON-Patch zurück. Treibt die automatische Sidecar-Injection (Istio Envoy, Vault Agent), Standard-Labels und Secret-Injection an.
Läuft nach Authentifizierung/Autorisierung, aber vor Validierung/Persistierung. Der Webhook-Server muss HTTPS sprechen und ein Zertifikat vorweisen, dem der API-Server vertraut. Klassischer Einsatz: Istio injiziert den Envoy-Sidecar in alle Pods mit istio-injection=enabled; cert-manager erzeugt aus einem Certificate ein Secret. Race Condition: Mehrere Mutating Webhooks werden alphabetisch geordnet ausgeführt, die Reihenfolge kann eine Rolle spielen. Kann die Status-Subresource nicht verändern. Failure-Policy Fail|Ignore — Ignore ist gefährlich, wenn der Webhook sicherheitskritisch ist.