MatchResources
MatchResources определяет, следует ли запускать политику контроля допуска для объекта, исходя из того, соответствует ли он критериям сопоставления. Правила исключения имеют приоритет над правилами включения (если ресурс соответствует обоим правилам, он исключается)
apiVersion: admissionregistration.k8s.io/v1
import "k8s.io/api/admissionregistration/v1"
MatchResources
MatchResources определяет, следует ли запускать политику контроля допуска для объекта, исходя из того, соответствует ли он критериям сопоставления. Правила исключения имеют приоритет над правилами включения (если ресурс соответствует обоим правилам, он исключается)
| Поле | Описание |
|---|---|
excludeResourceRulesмассив NamedRuleWithOperations |
excludeResourceRules описывает операции с ресурсами и подресурсами, которые ValidatingAdmissionPolicy не должна обрабатывать. Правила исключения имеют приоритет над правилами включения (если ресурс соответствует обоим правилам, он исключается) |
matchPolicystring |
matchPolicy определяет, как список "MatchResources" используется для сопоставления входящих запросов. Допустимые значения: "Exact" или "Equivalent". - Exact: сопоставлять запрос, только если он точно соответствует указанному правилу. Например, если развертывания можно изменять через apps/v1, apps/v1beta1 и extensions/v1beta1, но в "rules" включено только `apiGroups:["apps"], apiVersions:["v1"], resources: ["deployments"]`, запрос к apps/v1beta1 или extensions/v1beta1 не будет передан в ValidatingAdmissionPolicy. - Equivalent: сопоставлять запрос, если он изменяет ресурс, указанный в rules, даже через другую группу или версию API. Например, если развертывания можно изменять через apps/v1, apps/v1beta1 и extensions/v1beta1, а в "rules" включено только `apiGroups:["apps"], apiVersions:["v1"], resources: ["deployments"]`, запрос к apps/v1beta1 или extensions/v1beta1 будет преобразован в apps/v1 и передан в ValidatingAdmissionPolicy. По умолчанию используется "Equivalent" Возможные значения перечисления: - `"Equivalent"` означает, что запросы следует передавать веб-перехватчику, если они изменяют ресурс, указанный в rules, через другую группу или версию API. - `"Exact"` означает, что запросы следует передавать веб-перехватчику, только если они точно соответствуют заданному правилу. |
namespaceSelectorLabelSelector |
namespaceSelector определяет, следует ли запускать политику контроля допуска для объекта, исходя из того, соответствует ли селектор пространству имен этого объекта. Если сам объект является пространством имен, сопоставление выполняется по object.metadata.labels. Если объект является другим ресурсом уровня кластера, политика никогда не пропускается. Например, чтобы запускать веб-перехватчик для любых объектов, пространство имен которых не связано с "runlevel" со значением "0" или "1", задайте селектор следующим образом: "namespaceSelector": { "matchExpressions": [ { "key": "runlevel", "operator": "NotIn", "values": [ "0", "1" ] } ] } Если же вы хотите запускать политику только для объектов, пространство имен которых связано с "environment" со значением "prod" или "staging", задайте селектор следующим образом: "namespaceSelector": { "matchExpressions": [ { "key": "environment", "operator": "In", "values": [ "prod", "staging" ] } ] } Дополнительные примеры селекторов меток см. на странице https://kubernetes.io/docs/concepts/overview/working-with-objects/labels/. По умолчанию используется пустой LabelSelector, который соответствует всем объектам. |
objectSelectorLabelSelector |
objectSelector определяет, следует ли выполнять проверку, исходя из наличия у объекта соответствующих меток. objectSelector применяется как к oldObject, так и к newObject, которые будут переданы для проверки cel; селектор считается соответствующим, если ему соответствует хотя бы один из объектов. Пустой объект (oldObject при создании или newObject при удалении) либо объект, у которого не может быть меток (например, объект DeploymentRollback или PodProxyOptions), не считается соответствующим. Используйте селектор объектов только в том случае, если веб-перехватчик включается по выбору, поскольку конечные пользователи могут пропустить веб-перехватчик допуска, задав метки. По умолчанию используется пустой LabelSelector, который соответствует всем объектам. |
resourceRulesмассив NamedRuleWithOperations |
resourceRules описывает операции с ресурсами и подресурсами, которым соответствует ValidatingAdmissionPolicy. Политика обрабатывает операцию, если она соответствует _любому_ правилу. |
© 2026 The Kubernetes Authors | Documentation Distributed under CC BY 4.0
Copyright © 2026 The Linux Foundation ®. All rights reserved.
https://kubernetes.io/docs/reference/kubernetes-api/definitions/match-resources-v1-admissionregistration/
