Un Admission Webhook es un controlador de admisión HTTP callback que intercepta solicitudes a la API de un sistema (como Kubernetes) antes de que un objeto sea persistido. Estos webhooks pueden ser de dos tipos: Validating Admission Webhooks, que rechazan solicitudes si no cumplen ciertas políticas, y Mutating Admission Webhooks, que pueden modificar las solicitudes antes de que sean validadas y persistidas. Operan en la fase de 'admission control' del ciclo de vida de una solicitud a la API, después de la autenticación y autorización, pero antes de la persistencia del objeto en el datastore (ej. etcd en Kubernetes).
El ejemplo más prominente de implementación de Admission Webhooks es Kubernetes. Herramientas como Kyverno y OPA/Gatekeeper utilizan Admission Webhooks para aplicar políticas de seguridad, cumplimiento y gobernanza. Por ejemplo, un Mutating Webhook podría inyectar automáticamente un sidecar de Istio en cada Pod creado, o un Validating Webhook podría rechazar cualquier despliegue que no especifique límites de recursos (resource limits) o que intente usar imágenes de contenedores de repositorios no aprobados. También se utilizan para aplicar configuraciones por defecto, añadir etiquetas o anotaciones, o asegurar que los recursos cumplan con estándares organizacionales.
Para un arquitecto, los Admission Webhooks son fundamentales para implementar una estrategia de 'policy-as-code' y 'shift-left security'. Permiten centralizar y automatizar la aplicación de políticas de seguridad, cumplimiento y operativas directamente en el plano de control, reduciendo la superficie de ataque y garantizando la consistencia. Los trade-offs incluyen la latencia adicional en las operaciones de la API (cada webhook añade un paso de red), la complejidad de gestionar los webhooks y sus políticas, y el riesgo de introducir puntos únicos de fallo o 'deadlocks' si los webhooks no son robustos o están mal configurados. Es crucial diseñar webhooks con alta disponibilidad, baja latencia y lógica idempotente para evitar interrupciones en el clúster.