验证带有嵌入式内核的 CRD。v1.PodSpec

Question

我正在开发带有 CRD 的控制器。 CRD 包括我们的自定义内容以及嵌入式核心。v1.PodSpec。 (v1.13.1)

我在 CRD 中定义了一个验证部分，它可以验证和强制约束我们的自定义字段，但我不知道如何为嵌入式 PodSpec 执行此操作。 PodSpec 太大且选项太多，无法手动将其添加到 CRD 的验证部分：

apiVersion: apiextensions.k8s.io/v1beta1
kind: CustomResourceDefinition
metadata:
  name: mystuff.example.com
spec:
  group: mystuff.example.com
  versions:
    - name: v1alpha1
      served: true
      storage: true
  names:
    kind: MyStuff
    plural: mystuffs
    singular: mystuff
    shortNames:
    - ms
  scope: Namespaced
  additionalPrinterColumns:
  - JSONPath: .status.phase
    name: Status
    type: string
  - JSONPath: .metadata.resourceVersion
    name: Version
    type: string
  validation:
    openAPIV3Schema:
      properties:
        spec:
          required:
            - myVar1
            - myVar2
            - podSpec
          properties:
            myVar1:
              type: boolean
            myVar2:
              type: boolean
            # Here I need to validate a valid core.v1.PodSpec
            podSpec:
              type: core.v1.PodSpec

其他人如何处理这个问题？

我还需要验证用户可以提交工作负载的任何机制，即直接使用 kube apiserver 或 kubectl。

感谢您的帮助。

Answer 1

一般来说，CRD 不允许引用其他对象。对此进行了讨论：https://github.com/kubernetes/kubernetes/issues/54579。决定不添加引用。

此评论中描述了解决方法：https://github.com/kubernetes/kubernetes/issues/54579#issuecomment-370372942 我没用过，你可以试试。

Answer 2

有多种方法可以执行 CRD 验证。如您所知，通过 .validation 进行静态验证是一种方法。另一种方法是通过 ValidatingAdmissionWebhook 执行动态。这允许您实施和部署 Kubernetes API 服务器将在资源准入之前调用的服务器。

验证带有嵌入式内核的 CRD。v1.PodSpec

Validating a CRD with an embedded core.v1.PodSpec

go

kubernetes

openapi