Admission controller
Un «cancello» nell'API server di Kubernetes che esamina ogni richiesta di creare o modificare un oggetto DOPO l'autenticazione ma PRIMA del salvataggio, e può rifiutarla o modificarla. Il meccanismo dietro l'applicazione di policy e regole di sicurezza in un cluster.
Meccanismo: quando si invia un oggetto (ad esempio un pod), la richiesta attraversa una catena di admission controller. Due tipi: mutating (possono MODIFICARE l'oggetto — ad esempio iniettare un sidecar, impostare valori predefiniti, aggiungere etichette), che vengono eseguiti per primi, e validating (possono solo APPROVARE o NEGARE — ad esempio «i pod devono avere limiti di risorse», «niente container privilegiati»), eseguiti per ultimi. Esistono controller integrati, ma quelli potenti si basano su webhook: l'API server chiama un servizio esterno (un webhook mutating/validating) scritto in proprio o tramite strumenti come OPA Gatekeeper/Kyverno. Uso: applicare policy di sicurezza, iniettare automaticamente i sidecar del service mesh, bloccare risorse mal configurate. Pietra angolare della policy-as-code per Kubernetes. Collegato a pod security standards e network policy.