Definition. Eine Admission Policy prüft Anfragen an den Kubernetes-API-Server, nachdem sie authentifiziert und autorisiert wurden, aber bevor das Objekt gespeichert wird. Seit Kubernetes 1.30 ist die ValidatingAdmissionPolicy stabil. Sie wertet Regeln in der Common Expression Language (CEL) direkt im API-Server aus. Kyverno und Gatekeeper sind verbreitete Alternativen, die als Webhook arbeiten.

Warum relevant. RBAC entscheidet, wer eine Ressource anlegen darf. Eine Admission Policy entscheidet, wie sie aussehen darf. Damit lassen sich gefährliche Konfigurationen verbieten, bevor sie wirken, etwa privilegierte Pods, fremde Image-Quellen oder riskante Kombinationen von Annotations.

Beispiel. Gegen die Traefik-Lücke CVE-2026-114640 hätte eine Regel geholfen, die Ingresses mit Client-Zertifikatsprüfung und abgeschaltetem ssl-redirect ablehnt.

Verwandt. Kubernetes, Pod Security Standards, NetworkPolicy