编辑“︁Kubernetes配置验证”︁（章节）

=== 3. 使用Admission Webhooks ===  
动态验证通过Webhooks实现，例如使用[Kyverno](https://kyverno.io/)策略引擎：  

<mermaid>  
sequenceDiagram  
    User->>API Server: 提交资源配置  
    API Server->>Webhook: 转发请求  
    Webhook->>Policy Engine: 校验策略  
    Policy Engine-->>Webhook: 允许/拒绝  
    Webhook-->>API Server: 返回结果  
    API Server->>User: 反馈操作状态  
</mermaid>  

'''示例策略'''（禁止使用latest标签）：  
<syntaxhighlight lang="yaml">  
apiVersion: kyverno.io/v1  
kind: ClusterPolicy  
metadata:  
  name: disallow-latest-tag  
spec:  
  rules:  
  - name: validate-image-tag  
    match:  
      resources:  
        kinds:  
        - Pod  
    validate:  
      message: "使用latest标签可能导致版本不一致"  
      pattern:  
        spec:  
          containers:  
          - image: "!*:latest"  
</syntaxhighlight>