1. Admission Controller의 개념

• 우리가 kubectl로 Pod을 생성하는 요청을 보내면, 요청은 API Server를 거쳐 etcd에 저장됨
• 요청 흐름:
  1. Authentication → 사용자가 누구인지 확인 (주로 인증서 기반)
  2. Authorization → 사용자가 해당 작업을 수행할 권한이 있는지 확인 (RBAC로 제어)
  3. Admission Controller → 요청의 내용을 더 깊이 검사하거나 수정/차단

👉 RBAC은 “누가 어떤 리소스에 어떤 동작을 할 수 있는지”까지만 제어

👉 Admission Controller는 “리소스가 어떤 조건을 만족해야 하는지”를 제어 (보안/정책 강화)

2. Admission Controller로 가능한 일

• 요청 검증(Validation)
  • 특정 레지스트리 이미지만 허용 (예: 내부 프라이빗 레지스트리 강제)
  • latest 태그 사용 금지
  • root 권한 실행 금지
  • 반드시 특정 라벨 포함 여부 확인
• 요청 변경(Mutation)
  • PVC 생성 시 storageClass 자동 추가
  • 네임스페이스가 없을 경우 자동 생성 (Namespace Auto Provision, 현재는 deprecated)
• 운영 정책 적용
  • 이벤트 폭주 제한(EventRateLimit)
  • 네임스페이스 보호(NamespaceLifecycle)

3. Admission Controller의 종류

• Built-in Admission Controllers (기본 내장)
  • AlwaysPullImages: Pod 생성 시 항상 이미지를 새로 Pull
  • DefaultStorageClass: PVC 생성 시 StorageClass 자동 지정
  • EventRateLimit: API 서버 요청 속도 제한
  • NamespaceExists: 존재하지 않는 네임스페이스 요청 차단
  • NamespaceLifecycle: 특정 네임스페이스 삭제 금지, 존재하지 않는 네임스페이스 요청 차단
• Deprecated
  • NamespaceExists, NamespaceAutoProvision → 이제 NamespaceLifecycle로 대체

4. Admission Controller 활성화/비활성화

• 활성화 여부 확인:

  kube-apiserver -h | grep enable-admission-plugins
  
  

• 추가/제거 방법:

  • kubeadm 기반 클러스터:

    /etc/kubernetes/manifests/kube-apiserver.yaml 수정

    - --enable-admission-plugins=...,NamespaceLifecycle,EventRateLimit
    - --disable-admission-plugins=PodSecurityPolicy
    
    

  • API Server 서비스 방식일 경우 → systemd 서비스 파일 수정

5. 동작 예시