Mutating webhook
Estensione degli admission controller di Kubernetes che può MODIFICARE gli oggetti prima della loro persistenza. Riceve lo YAML in ingresso e restituisce una patch JSON. Alla base dell'iniezione automatica di sidecar (Envoy di Istio, Vault Agent), di etichette predefinite e di secret.
Viene eseguito dopo autenticazione e autorizzazione, ma prima di validazione e persistenza. Il server del webhook deve usare HTTPS con un certificato di cui l'API server si fida. Uso classico: Istio inietta il sidecar Envoy in tutti i pod con istio-injection=enabled; cert-manager crea un Secret a partire da un Certificate. Insidia: più mutating webhook vengono ordinati alfabeticamente e l'ordine può contare. Non può modificare le sottorisorse Status. Con failure-policy Fail|Ignore, Ignore è pericoloso se il webhook è critico per la sicurezza.