ImagePolicyWebhook是Kubernetes内置的准入控制器，用于在Pod创建前将镜像策略决策委托给外部Webhook服务，支持cosign或notary v2签名验证；自1.28起已弃用，将由ValidatingAdmissionPolicy+ClusterImagePolicy替代。
什么是 Admission Control 中的 ImagePolicyWebhook？
ImagePolicyWebhook 是 Kubernetes 内置的一种 Admission Controller，它在 Pod 创建前把镜像拉取策略相关的决策委托给外部 Webhook 服务。它本身不校验签名，但提供标准接口让外部服务做这件事——比如验证 cosign 签名或 notary v2 声明。
注意：Kubernetes 1.28+ 已将 ImagePolicyWebhook 标记为 deprecated，但它仍是目前唯一原生支持镜像策略拦截的 admission 插件；后续会被 ValidatingAdmissionPolicy + ClusterImagePolicy（SIG Auth 提案）替代，但尚未 GA。
如何配置 kube-apiserver 启用 ImagePolicyWebhook？
必须显式启用并指向你的签名验证服务，否则所有 Pod 创建请求会因 webhook 不可达而失败（默认 fail-close）。关键配置项：
-
--enable-admission-plugins=ImagePolicyWebhook（必须放在插件列表中，且顺序无关） --admission-control-config-file=/path/to/admission-config.yaml
对应 admission-config.yaml 示例：
apiVersion: apiserver.k8s.io/v1
kind: AdmissionConfiguration
plugins:
- name: ImagePolicyWebhook
configuration:
kubeConfigFile: /etc/kubernetes/admission/webhook.kubeconfig
# 注意：timeoutSeconds 默认是 30，若签名服务响应慢，需调大
timeoutSeconds: 10
webhook.kubeconfig 必须使用 client cert 认证（不支持 token），且 apiserver 需能访问 webhook 的 HTTPS 地址（建议用 Service DNS，如 https://image-policy-webhook.default.svc:443）。
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
为什么你的 webhook 会收到空镜像列表或被绕过？
常见失效场景：
- Pod 使用
imagePullPolicy: Never或本地已有镜像时，ImagePolicyWebhook不触发校验 —— 它只检查即将 pull 的镜像 - InitContainer、EphemeralContainer、RuntimeClass 中的镜像可能被忽略，取决于 kubelet 版本和 admission 链路是否完整
- 使用
kind: Pod直接提交时生效，但Deployment等控制器创建的 Pod 也走同一 admission 链，无需额外配置 - 如果 webhook 返回
allowed: false但没带status.reason，错误信息在 events 里显示为 “Forbidden”，排查困难
建议在 webhook 实现中强制记录原始 ImageReview 请求体，并对 registry.k8s.io 或 pause 等基础镜像放行（避免集群启动失败）。
用 cosign + kyverno 搭建最小可行签名验证链
纯自研 webhook 开发成本高，推荐组合方案：
- 用
cosign sign对镜像打签：cosign sign -key cosign.key ghcr.io/user/app:v1.0 - 部署
kyverno（v1.11+），启用ImageVerification功能（非默认开启） - 在
ClusterPolicy中配置：verifyImages规则，指定registry、imageReferences和certSubject或annotations匹配条件 - kyverno 本身不替代
ImagePolicyWebhook，但它通过ValidatingAdmissionPolicy（beta）或自定义 admission webhook 方式介入，更灵活
注意：kyverno 的 image verification 默认是 fail-open（校验失败仍允许创建），必须显式设 failurePolicy: Fail 才真正“强制”。
实际生产中，镜像签名不是单点开关，而是要和 registry 的 content-trust（如 Notary v2）、CI/CD 的签发流水线、以及 PodSecurityPolicy 或 PodSecurity 配合，否则容易被 hostPath 或 initContainer 绕过校验逻辑。
