Validating webhook
Kubernetesのアドミッションコントローラで、オブジェクトが永続化される前に承認または拒否するが、内容は変更できない。OPA GatekeeperやKyvernoといったポリシーエンジンの土台で、リソース制限の無いPodやroot実行のコンテナなどを止める。
mutating webhookの後に実行される。webhookはallowed: true/falseと理由を返す。よくあるポリシーは、必須ラベル、イメージレジストリの許可リスト、特権コンテナの禁止、namespaceのクォータなど。v1.30以降は、CEL式を使うネイティブな代替ValidatingAdmissionPolicyがあり、単純なルールなら外部webhookが要らない。避けたい失敗:落ちたwebhookのfailure-policyをFailにすると、アドミッションがすべて止まる(クラスタが凍結する)。kube-systemのnamespaceは必ず例外にしておくこと。