Walidujący webhook
Kontroler dopuszczania Kubernetesa, który ZATWIERDZA lub ODRZUCA obiekty przed zapisaniem — ale nie może ich zmieniać. Napędza silniki polityk (OPA Gatekeeper, Kyverno), blokujące np. pody bez limitów zasobów lub kontenery działające jako root.
Uruchamiany po webhookach mutujących. Webhook zwraca allowed: true/false oraz powód. Typowe polityki: wymagane etykiety, lista dozwolonych rejestrów obrazów, zakaz uprzywilejowanych kontenerów, limity przestrzeni nazw. Natywna alternatywa od v1.30: ValidatingAdmissionPolicy z wyrażeniami CEL — do prostych reguł nie potrzeba zewnętrznego webhooka. Błąd do uniknięcia: failure-policy Fail na webhooku, który się wywala → wstrzymane zostaje całe dopuszczanie (klaster zamarza). Zawsze ustaw wyjątki dla przestrzeni nazw kube-system.