Kubernetes Operator härten: Admission- & Conversion-Webhooks mit Kubebuilder

In diesem 140-Minuten-Modul schließt ihr die Lücke, die das Modul Kubernetes Operator entwickeln mit Kubebuilder (Go) bewusst offengelassen hat: Dort reconciliert euer Controller jede CronTab anstandslos – egal ob cronSpec ein gültiger Cron-Ausdruck ist oder drei zufällige Sternchen, egal ob replicas negativ ist. Heute verschiebt ihr diese Regeln vom Reconciler an den Rand: an den API-Server selbst, über echte Admission-Webhooks. Los geht es mit dem Webhook-Scaffold: kubebuilder create webhook –group stable –version v1 –kind CronTab –defaulting –programmatic-validation ergänzt api/v1/crontab_webhook.go um dieselbe CronTab-CRD, die der Vorgängerkurs bereits angelegt hat – keine neue CRD, kein neues Beispiel. Im Kern des Moduls implementiert ihr einen Mutating-Webhook ( Default(ctx, obj), setzt replicas auf 1, wenn der Wert fehlt) und einen Validating-Webhook ( ValidateCreate/ValidateUpdate/ ValidateDelete, lehnt einen syntaktisch kaputten cronSpec und negative replicas direkt bei kubectl apply ab statt erst beim Beobachten eines nie feuernden Controllers). Beide Webhooks testet ihr nicht nur als isolierte Go-Funktionen, sondern über einen echten, lokal gestarteten API-Server mit echtem TLS-Webhook-Server via envtest – derselbe hohe Verifikationsgrad wie im Vorgängerkurs, jetzt zusätzlich mit einem echten HTTPS-Roundtrip durch den Admission-Mechanismus. Zum Abschluss der Conversion-Webhook: eine zweite, historische CRD-Version v1alpha1 mit einem umbenannten Feld (schedule statt cronSpec) – genau das Beispiel, das der CRD-Kurs als Ausblick genannt hatte –, über das Hub-und-Spoke-Modell (conversion.Hub/ Convertible, ConvertTo/ConvertFrom) konvertiert und ebenfalls per envtest real gegen den API-Server bewiesen: Ein als v1 angelegtes Objekt, über v1alpha1 gelesen, kommt mit korrekt umbenanntem Feld zurück – der API-Server hat den /convert-Endpunkt eures Managers tatsächlich aufgerufen. Voraussetzung ist das Modul “Kubernetes Operator entwickeln mit Kubebuilder (Go)” – Pflicht, wird hier nicht wiederholt. Die Session läuft komplett lokal über Minikube (–driver=docker), ohne Cloud-Account und ohne Kostenwirkung.