ValidatingAdmissionPolicyBinding

ValidatingAdmissionPolicyBinding связывает ValidatingAdmissionPolicy с параметризованными ресурсами. ValidatingAdmissionPolicyBinding и CRD параметров совместно определяют, как администраторы кластера настраивают политики для кластеров.

Для данного запроса на допуск каждая привязка приводит к тому, что её политика оценивается N раз: N равно 1 для политик/привязок, не использующих параметры; в противном случае N равно количеству параметров, выбранных привязкой.

Вычисленная стоимость выражений CEL политики должна быть ниже максимального бюджета CEL. Каждой оценке политики выделяется независимый бюджет стоимости CEL. Добавление или удаление политик, привязок или параметров не может повлиять на то, укладывается ли заданная комбинация (политика, привязка, параметр) в собственный бюджет CEL.

apiVersion: admissionregistration.k8s.io/v1

import "k8s.io/api/admissionregistration/v1"

ValidatingAdmissionPolicyBinding

Поле	Описание
`apiVersion` string	APIVersion определяет версионированную схему этого представления объекта. Серверы должны преобразовывать распознанные схемы в последнее внутреннее представление и могут отклонять нераспознанные значения. Дополнительная информация: https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources
`kind` string	Kind — строковое значение, представляющее REST-ресурс, который представляет этот объект. Серверы могут определять его по конечной точке, на которую клиент отправляет запросы. Не может быть обновлён. В CamelCase. Дополнительная информация: https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds
`metadata` ObjectMeta	metadata — стандартные метаданные объекта; дополнительная информация: https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#metadata.
`spec` * ValidatingAdmissionPolicyBindingSpec	spec определяет желаемое поведение ValidatingAdmissionPolicyBinding.

ValidatingAdmissionPolicyBindingSpec

ValidatingAdmissionPolicyBindingSpec — спецификация ValidatingAdmissionPolicyBinding.

Поле	Описание
`matchResources` MatchResources	matchResources объявляет, какие ресурсы соответствуют этой привязке и будут проверяться с её помощью. Обратите внимание, что это условие пересекается с matchConstraints политики, поэтому с его помощью можно выбрать только запросы, соответствующие политике. Если это поле не задано, эта привязка проверяет все ресурсы, соответствующие политике. Если resourceRules не задано, оно не ограничивает сопоставление ресурсов. Если ресурс соответствует другим полям этого объекта, он будет проверен. Обратите внимание, что это отличается от matchConstraints в ValidatingAdmissionPolicy, где resourceRules обязательны.
`paramRef` ParamRef	paramRef указывает ресурс параметров, используемый для настройки политики управления допуском. Он должен ссылаться на ресурс типа, указанного в ParamKind связанной ValidatingAdmissionPolicy. Если в политике указан ParamKind, а ресурс, на который ссылается ParamRef, не существует, эта привязка считается неправильно настроенной и применяется FailurePolicy из ValidatingAdmissionPolicy. Если в политике не указан ParamKind, это поле игнорируется, а правила оцениваются без параметра.
`policyName` * string	policyName ссылается на имя ValidatingAdmissionPolicy, с которой связывает данная ValidatingAdmissionPolicyBinding. Если указанный ресурс не существует, привязка считается недействительной и игнорируется. Обязательное поле.
`validationActions` * string array	validationActions объявляет, как применяются проверки указанной ValidatingAdmissionPolicy. Если результат проверки — false, она всегда применяется в соответствии с этими действиями. Сбои, определённые FailurePolicy в ValidatingAdmissionPolicy, применяются в соответствии с этими действиями только в том случае, если для FailurePolicy задано значение Fail; в противном случае сбои игнорируются. К ним относятся ошибки компиляции, ошибки времени выполнения и неправильная конфигурация политики. validationActions задаётся как набор значений действий. Порядок не имеет значения. validationActions не может содержать повторяющиеся действия. Поддерживаются следующие значения действий: "Deny" означает, что при сбое проверки запрос отклоняется. "Warn" означает, что о сбое проверки сообщается клиенту запроса в HTTP-заголовках Warning с кодом предупреждения 299. Предупреждения могут отправляться как для разрешённых, так и для отклонённых ответов на запросы допуска. "Audit" означает, что сведения о сбое проверки включаются в опубликованное событие аудита для запроса. Событие аудита будет содержать аннотацию аудита `validation.policy.admission.k8s.io/validation_failure` со значением, включающим подробности сбоев проверки в виде списка объектов JSON, каждый из которых содержит следующие поля: - message: строка с сообщением о сбое проверки - policy: имя ресурса ValidatingAdmissionPolicy - binding: имя ресурса ValidatingAdmissionPolicyBinding - expressionIndex: индекс неуспешной проверки в ValidatingAdmissionPolicy - validationActions: действия, применённые при сбое проверки Пример аннотации аудита: `"validation.policy.admission.k8s.io/validation_failure": "[{\"message\": \"Invalid value\", {\"policy\": \"policy.example.com\", {\"binding\": \"policybinding.example.com\", {\"expressionIndex\": \"1\", {\"validationActions\": [\"Audit\"]}]"` Клиентам следует предусмотреть обработку дополнительных значений, игнорируя любые неизвестные значения. Значения "Deny" и "Warn" нельзя использовать вместе, поскольку такая комбинация без необходимости дублирует сведения о сбое проверки в теле ответа API и HTTP-заголовках предупреждения. Обязательное поле.

ValidatingAdmissionPolicyBindingList

ValidatingAdmissionPolicyBindingList — список ValidatingAdmissionPolicyBinding.

Поле	Описание
`apiVersion` string	APIVersion определяет версионированную схему этого представления объекта. Серверы должны преобразовывать распознанные схемы в последнее внутреннее представление и могут отклонять нераспознанные значения. Дополнительная информация: https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources
`items` * ValidatingAdmissionPolicyBinding array	Список PolicyBinding.
`kind` string	Kind — строковое значение, представляющее REST-ресурс, который представляет этот объект. Серверы могут определять его по конечной точке, на которую клиент отправляет запросы. Не может быть обновлён. В CamelCase. Дополнительная информация: https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds
`metadata` ListMeta	metadata — стандартные метаданные списка. Дополнительная информация: https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds

© 2026 The Kubernetes Authors | Documentation Distributed under CC BY 4.0
Copyright © 2026 The Linux Foundation ®. All rights reserved.
https://kubernetes.io/docs/reference/kubernetes-api/admissionregistration/validating-admission-policy-binding-v1/