Controlador de admissão
Um "portão" no API server do Kubernetes que examina toda requisição para criar/modificar um objeto DEPOIS da autenticação mas ANTES de ser salva — e pode rejeitá-la ou modificá-la. O mecanismo por trás da aplicação de políticas e regras de segurança num cluster.
Mecânica: quando você envia um objeto (por exemplo, um pod), a requisição passa por uma cadeia de admission controllers. Dois tipos: mutating (podem MODIFICAR o objeto — por exemplo, injetar um sidecar, definir valores padrão, adicionar labels), que rodam primeiro, e validating (só podem APROVAR ou NEGAR — por exemplo, "pods precisam ter resource limits", "nenhum container privilegiado"), que rodam por último. Existem controllers embutidos, mas os poderosos são baseados em webhook: o API server chama um serviço externo (um webhook mutating/validating) que você mesmo escreveu ou via ferramentas como OPA Gatekeeper/Kyverno. Casos de uso: forçar políticas de segurança, injetar sidecars de service mesh automaticamente, bloquear recursos malconfigurados. A pedra angular do policy-as-code no Kubernetes. Relacionado a Pod Security Standards e network policy.