アドミッションコントローラ
Kubernetes APIサーバーにある「関門」。オブジェクトの作成・変更リクエストを、認証の後、保存の前に審査し、拒否したり書き換えたりできる。クラスタでのポリシー強制とセキュリティルールを支える仕組みである。
オブジェクト(たとえばPod)を送信すると、リクエストは一連のアドミッションコントローラを通る。種類は二つ。先に動くmutatingは、オブジェクトを書き換えられる(サイドカーの注入、デフォルト値の設定、ラベルの付与など)。最後に動くvalidatingは、承認か拒否しかできない(「Podにはリソース制限が必須」「特権コンテナ禁止」など)。組み込みのものもあるが、強力なのはWebhook型で、APIサーバーが自作、あるいはOPA GatekeeperやKyvernoのようなツールで用意した外部サービスを呼び出す。用途は、セキュリティポリシーの強制、サービスメッシュのサイドカーの自動注入、設定ミスのあるリソースの阻止。KubernetesにおけるPolicy as Codeの要である。