Validating Webhook
Kubernetes-Admission-Controller, der Objekte vor der Persistierung GENEHMIGT oder ABLEHNT — sie aber nicht verändern kann. Treibt Policy-Engines wie OPA Gatekeeper und Kyverno an, die etwa Pods ohne Resource-Limits oder als Root laufende Container blockieren.
Läuft nach den Mutating Webhooks. Der Webhook liefert allowed: true/false plus Begründung zurück. Typische Policies: Pflicht-Labels, Image-Registry-Allowlists, keine privilegierten Container, Namespace-Quotas. Natives Alternativkonzept seit v1.30: ValidatingAdmissionPolicy mit CEL-Ausdrücken — für einfache Regeln braucht es keinen externen Webhook mehr. Zu vermeidender Fehler: failurePolicy Fail bei einem Webhook, der abstürzt → jede Admission wird blockiert (Cluster eingefroren). Für den Namespace kube-system immer eine Ausnahmeregel setzen.