Contrôleur d'admission
Une « porte » dans le serveur API de Kubernetes qui examine chaque demande de création ou modification d'un objet APRÈS l'authentification mais AVANT son enregistrement — et peut la rejeter ou la modifier. Le mécanisme derrière l'application des politiques et des règles de sécurité dans un cluster.
Mécanique : quand vous soumettez un objet (par exemple un pod), la requête traverse une chaîne de contrôleurs d'admission. Deux types : les mutating (peuvent MODIFIER l'objet — injecter un sidecar, définir des valeurs par défaut, ajouter des labels), exécutés en premier, et les validating (peuvent seulement APPROUVER ou REFUSER — par exemple « les pods doivent avoir des limites de ressources », « pas de conteneurs privilégiés »), exécutés en dernier. Des contrôleurs intégrés existent, mais les plus puissants reposent sur des webhooks : le serveur API appelle un service externe (un webhook mutating/validating) écrit maison ou via des outils comme OPA Gatekeeper/Kyverno. Cas d'usage : imposer des politiques de sécurité, injecter automatiquement des sidecars de service mesh, bloquer des ressources mal configurées. La pierre angulaire du policy-as-code pour Kubernetes. Lié aux Pod Security Standards et à la network policy.