limits 是为所接收到的事件查询设置的限制。可以针对服务器端接收到的事件设置限制， 按逐个名字空间、逐个用户、或逐个来源+对象组合的方式均可以。 至少需要设置一种限制。

type 是此配置所适用的限制的类型。

qps 是针对此类型的限制每秒钟所允许的事件查询次数。qps 和 burst 字段一起用来确定是否特定的事件查询会被接受。qps 确定的是当超出查询数量的 burst 值时可以接受的查询个数。

burst 是针对此类型限制的突发事件查询数量。qps 和 burst 字段一起使用可用来确定特定的事件查询是否被接受。 burst 字段确定针对特定的事件桶（bucket）可以接受的规模上限。 例如，如果 burst 是 10，qps 是 3，那么准入控制器会在接收 10 个查询之后阻塞所有查询。 每秒钟可以额外允许 3 个查询。如果这一限额未被用尽，则剩余的限额会被顺延到下一秒钟， 直到再次达到 10 个限额的上限。

cacheSize 是此类型限制的 LRU 缓存的规模。如果某个事件桶（bucket）被从缓存中剔除， 该事件桶所对应的限额也会被重置。如果后来再次收到针对某个已被剔除的事件桶的查询， 则该事件桶会重新以干净的状态进入缓存，因而获得全量的突发查询配额。

默认的缓存大小是 4096。

如果 limitType 是 “server”，则 cacheSize 设置会被忽略。

标准的对象元数据。更多信息：https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#metadata

spec 中包含与被评估的 Pod 相关的信息。

status 由后台负责填充，用来标明 Pod 是否会被准入。

此字段的格式可以是 image:tag 或 image@SHA:012345679abcdef。

containers 是一个列表，其中包含正被创建的 Pod 中各容器的信息子集。

annotations 是一个键值对列表，内容抽取自 Pod 的注解（annotations）。 其中仅包含与模式 *.image-policy.k8s.io/* 匹配的键。 每个 Webhook 后端要负责决定如何解释这些注解（如果有的话）。

namespace 是 Pod 创建所针对的名字空间。

allowed 表明所有镜像都可以被运行。

若 allowed 不是 false，reason 应该为空。 否则其中应包含出错信息的简短描述。Kubernetes 在向用户展示此信息时可能会截断过长的错误文字。

auditAnnotations 会被通过 AddAnnotation 添加到准入控制器的 attributes 对象上。 注解键应该不含前缀，换言之，准入控制器会添加合适的前缀。

来自 pkg/api/types.go TypeMeta 的遗留字段。

来自 pkg/api/types.go TypeMeta 的遗留字段。

preferences保存用于 CLI 交互的一般信息。

clusters 是从可引用名称到集群配置的映射。

users 是一个从可引用名称到用户配置的映射。

contexts 是从可引用名称到上下文配置的映射。

current-context 是默认情况下你想使用的上下文的名称。

extensions 保存额外信息。这对于扩展程序是有用的，目的是使读写操作不会破解未知字段。

client-certificate 是 TLS 客户端证书文件的路径。

client-certificate-data 包含用于 TLS 连接的、来自客户端证书的 PEM 编码的数据。 此字段值会覆盖 client-certificate 内容。

client-key 是用于 TLS 连接的客户端密钥文件的路径。

client-key-data 包含用于 TLS 连接的、来自客户端密钥文件的 PEM 编码数据。此数据会覆盖 client-key 的内容。

token 是用于向 kubernetes 集群进行身份验证的持有者令牌。

tokenFile 是一个指针，指向包含有持有者令牌（如上所述）的文件。 如果 token 和 tokenFile 都存在，token 优先。

as 是要冒充的用户名。名字与命令行标志相匹配。

as-uid 是要冒充的 UID。

as-groups 是要冒充的用户组。

as-user-extra 包含与要冒充的用户相关的额外信息。

username 是向 Kubernetes 集群进行基本认证的用户名。

password 是向 Kubernetes 集群进行基本认证的密码。

auth-provider 给出用于给定 Kubernetes 集群的自定义身份验证插件。

exec 指定了针对某 Kubernetes 集群的基于 exec 的自定义身份认证插件。

extensions 保存一些额外信息。这些信息对于扩展程序是有用的，目的是确保读写操作不会破坏未知字段。

配置选项名称。

配置选项取值映射。

server 是 Kubernetes 集群的地址（形式为 https://hostname:port）。

tls-server-name 用于检查服务器证书。如果 tls-server-name 是空的，则使用用于联系服务器的主机名。

insecure-skip-tls-verify 跳过服务器证书的有效性检查。 这样做将使你的 HTTPS 连接不安全。

certificate-authority 是证书机构的证书文件的路径。

certificate-authority-data 包含 PEM 编码的证书机构证书。 覆盖 certificate-authority 的设置值。

proxy-url 是代理的 URL，该代理用于此客户端的所有请求。 带有 "http"、"https" 和 "socks5" 的 URL 是被支持的。 如果未提供此配置或为空字符串，客户端尝试使用 http_proxy 和 https_proxy 环境变量构建代理配置。 如果这些环境变量也没有设置, 客户端不会尝试代理请求。

socks5 代理当前不支持 SPDY 流式端点 （exec、attach、port-forward）。

disable-compression 允许客户端选择不对发往服务器的所有请求进行响应压缩。 当客户端与服务器之间的网络带宽充足时，这对于加快请求（尤其是 list 操作）非常有用， 能够节省进行（服务器端）压缩和（客户端）解压缩的时间。参见 https://github.com/kubernetes/kubernetes/issues/112296。

extensions 保存一些额外信息。 这些信息对于扩展程序是有用的，目的是确保读写操作不会破坏未知字段。

cluster 是此上下文中的集群名称。

user 是此上下文的 authInfo 名称。

namespace 是在请求中未明确指定时使用的默认名字空间。

extensions 保存一些额外信息。 这些信息对于扩展程序是有用的，目的是确保读写操作不会破坏未知字段。

command 是要执行的命令。

args 是执行命令时要传递的参数。

env 定义了要暴露给进程的额外的环境变量。这些与主机的环境变量以及 client-go 使用的变量一起，用于传递参数给插件。

ExecInfo 的首选输入版本。返回的 ExecCredentials 必须使用与输入相同的编码版本。

当似乎找不到可执行文件时，将向用户显示此文本。 例如，对于在 Mac OS 系统上安装 foo-cli 插件而言， brew install foo-cli 这可能是不错的 installHint。

ProvideClusterInfo 决定是否提供集群信息。 这些信息可能包含非常大的 CA 数据，用来作为 KUBERNETES_EXEC_INFO 环境变量的一部分提供给这个 exec 插件。 默认情况下，它被设置为 false。 k8s.io/client-go/tools/auth/exec 包提供了用于读取这个环境变量的辅助方法。

interactiveMode 确定此插件与标准输入之间的关系。有效值为：

• "Never"：这个 exec 插件从不使用标准输入；
• "IfAvailable"：这个 exec 插件希望使用标准输入，如果可用的话；
• "Always"：这个 exec 插件需要标准输入以正常运行。

查看 ExecInteractiveMode 值以了解更多详情。

如果 apiVersion 是 client.authentication.k8s.io/v1alpha1 或 client.authentication.k8s.io/v1beta1, 则此字段是可选的， 且当未设置时默认为 "IfAvailable"。否则，此字段是必需的。

环境变量名称。

环境变量取值。

name 是该 AuthInfo 的昵称。

user 保存身份认证信息。

name 是此集群的昵称。

cluster 保存集群的信息。

name 是此上下文的昵称。

context 保存上下文信息。

name 是此扩展的昵称。

extension 保存扩展信息。

是否采用彩色字符编码。

extensions 保存一些额外信息。 这些信息对于扩展程序是有用的，目的是确保读写操作不会破坏未知字段。

request 描述准入请求的属性。

response 描述准入响应的属性。

uid 是用于标识单个请求/响应的标识符。它允许我们区分在其他情况下完全相同的请求实例（并行请求、在先前请求未修改时的请求等）。 uid 的目的是跟踪 KAS（Kubernetes Admission Server）和 WebHook 之间的轮询（请求/响应），而不是用户请求。 它适用于在 WebHook 和 API 服务器之间建立日志条目上的关联，从而服务于审计或调试目的。

kind 是正被提交的对象的全限定类别名称（例如 v1.Pod 或 autoscaling.v1.Scale）。

resource 是正被请求的资源的全限定名称（例如 v1.pods）。

subResource 是正被请求的子资源——如果存在的话（例如 "status" 或 "scale"）。

requestKind 是原始 API 请求的完全限定类别名称（例如 v1.Pod 或 autoscaling.v1.Scale）。 如果此字段被指定且不同于 "kind" 中的值，则执行等效的匹配和转换。

例如，如果 Deployment 可以通过 apps/v1 和 apps/v1beta1 进行修改，并且 Webhook 注册了 apiGroups:["apps"], apiVersions:["v1"], resources: ["deployments"] 和 matchPolicy: Equivalent 的规则，那么指向 apps/v1beta1 Deployment 的 API 请求将被转换并发送到 Webhook， 其中 kind: {group:"apps", version:"v1", kind:"Deployment"} （与 Webhook 注册的规则匹配）并且 requestKind: {group:"apps", version:"v1beta1", kind:"Deployment"}（指示原始 API 请求的类别）。

参阅文档了解 Webhook 配置类型中 "matchPolicy" 字段的更多细节。

requestResource 是原始 API 请求的全限定资源名称（例如 v1.pods）。 如果此字段被指定且不同于 "resource" 中的值，则执行等效的匹配和转换。

例如，如果 Deployment 可以通过 apps/v1 和 apps/v1beta1 修改，并且 Webhook 注册了 apiGroups:["apps"], apiVersions:["v1"], resources: ["deployments"] 和 matchPolicy: Equivalent 的规则，那么指向 apps/v1beta1 Deployment 的 API 请求将被转换并发送到 Webhook， 其中 resource: {group:"apps", version:"v1", resource:"deployments"} （与 Webhook 注册的资源匹配）以及 requestResource: {group:"apps", version:"v1beta1", resource:"deployments"}（指示原始 API 请求的资源）。

参阅文档了解 Webhook 配置类型中 "matchPolicy" 字段的更多细节。

requestSubResource 是可能存在的、原始 API 所请求的子资源（例如 "status" 或 "scale"）。 如果此字段被指定且不同于 "subResource" 中的值，则执行等效的匹配和转换。 参阅文档了解 Webhook 配置类型中的 "matchPolicy" 字段。

name 是出现在请求中的对象的名称。客户端在执行 CREATE 操作时，可以忽略此命令并依赖服务器生成此名称。 如果是这种情况，此字段将包含一个空白字符串。

namespace 是与请求（如果有的话）关联的命名空间。

operation 是正在执行的操作。这可能不同于请求的操作， 例如 patch 可以造成 CREATE 或 UPDATE 操作。

userInfo 是发出请求的用户的相关信息。

object 是来自传入请求的对象。

oldObject 是现有的对象。只有 DELETE 和 UPDATE 请求中此字段会有值。

dryRun 表示此请求的修改绝对不会被持久化。默认为 false。

options 是正在执行的操作的操作选项结构。 例如 meta.k8s.io/v1.DeleteOptions 或 meta.k8s.io/v1.CreateOptions。 所设置的值可能不同于调用方所提供的选项。例如 patch 请求执行的操作可能是 CREATE，那这种情况下即使调用方提供了 meta.k8s.io/v1.PatchOptions，options 也将是 meta.k8s.io/v1.CreateOptions。

uid 是标识单独请求/响应的标识符。 它必须从相应的 AdmissionRequest 复制过来。

allowed 表示准入请求是否被允许。

status 包含为什么准入请求被拒绝的额外细节。 如果 "Allowed" 的值为 "true"，则不会以任何方式使用此字段。

patch 操作的主体。目前 Kubernetes 仅支持实现了 RFC 6902 的 "JSONPatch"。

patch 的类型。目前 Kubernetes 仅允许 "JSONPatch"。

auditAnnotations 是由远程准入控制器设置的非结构化键值映射（例如 error=image-blacklisted）。 MutatingAdmissionWebhook 和 ValidatingAdmissionWebhook 准入控制器将在键前缀中使用准入 Webhook 名称 （例如 imagepolicy.example.com/error=image-blacklisted）。auditAnnotations 将由准入 Webhook 提供，向此请求的审计日志添加额外的上下文。

warnings 是警告消息的列表，返回给发出请求的 API 客户端。 这些警告消息描述客户端在进行 API 请求时应该纠正或注意的问题。 如果可能的话，将 warnings 限制在 120 个字符以内。 如果 warnings 中的消息超过 256 个字符，或 warnings 数量过多，可能会被截断。

生成事件所对应的审计级别。

为每个请求所生成的唯一审计 ID。

生成此事件时请求的处理阶段。

requestURI 是客户端发送到服务器端的请求 URI。

verb 是与请求对应的 Kubernetes 动词。对于非资源请求，此字段为 HTTP 方法的小写形式。

关于认证用户的信息。

关于所伪装（impersonated）的用户的信息。

发起请求和中间代理的源 IP 地址。 源 IP 从以下（按顺序）列出：

1. X-Forwarded-For 请求标头 IP
2. X-Real-Ip 标头，如果 X-Forwarded-For 列表中不存在
3. 连接的远程地址，如果它无法与此处列表中的最后一个 IP（X-Forwarded-For 或 X-Real-Ip）匹配。 注意：除最后一个 IP 外的所有 IP 均可由客户端任意设置。

userAgent 中记录客户端所报告的用户代理（User Agent）字符串。 注意 userAgent 信息是由客户端提供的，一定不要信任。

此请求所指向的对象引用。对于 List 类型的请求或者非资源请求，此字段可忽略。

响应的状态，当 responseObject 不是 Status 类型时被赋值。 对于成功的请求，此字段仅包含 code 和 statusSuccess。 对于非 Status 类型的错误响应，此字段会被自动赋值为出错信息。

来自请求的 API 对象，以 JSON 格式呈现。requestObject 在请求中按原样记录 （可能会采用 JSON 重新编码），之后会进入版本转换、默认值填充、准入控制以及配置信息合并等阶段。 此对象为外部版本化的对象类型，甚至其自身可能并不是一个合法的对象。对于非资源请求，此字段被忽略。 只有当审计级别为 Request 或更高的时候才会记录。

响应中包含的 API 对象，以 JSON 格式呈现。responseObject 是在被转换为外部类型并序列化为 JSON 格式之后才被记录的。对于非资源请求，此字段会被忽略。 只有审计级别为 Response 时才会记录。

请求到达 API 服务器时的时间。

请求到达当前审计阶段时的时间。

annotations 是一个无结构的键-值映射，其中保存的是一个审计事件。 该事件可以由请求处理链路上的插件来设置，包括身份认证插件、鉴权插件以及准入控制插件等。 注意这些注解是针对审计事件本身的，与所提交的对象中的 metadata.annotations 之间不存在对应关系。 映射中的键名应该唯一性地标识生成该事件的组件，从而避免名字上的冲突 （例如 podsecuritypolicy.admission.k8s.io/policy）。 映射中的键值应该比较简洁。 当审计级别为 Metadata 时会包含 annotations 字段。

包含 metadata 字段是为了便于与 API 基础设施之间实现互操作。

字段 rules 设置请求要被记录的审计级别（level）。 每个请求可能会与多条规则相匹配；发生这种状况时遵从第一条匹配规则。 默认的审计级别是 None，不过可以在列表的末尾使用一条全抓（catch-all）规则重载其设置。 列表中的规则（PolicyRule）是严格有序的。

字段 omitStages 是一个阶段（Stage）列表，其中包含无须生成事件的阶段。 注意这一选项也可以通过每条规则来设置。 审计组件最终会忽略出现在 omitStages 中阶段，也会忽略规则中的阶段。

omitManagedFields 标明将请求和响应主体写入 API 审计日志时，是否省略其托管字段。 此字段值用作全局默认值 - 'true' 值将省略托管字段，否则托管字段将包含在 API 审计日志中。 请注意，也可以按规则指定此值，在这种情况下，规则中指定的值将覆盖全局默认值。

resources 是此规则所适用的资源的列表。

例如：

• pods 匹配 Pod。
• pods/log 匹配 Pod 的 log 子资源。
• * 匹配所有资源及其子资源。
• pods/* 匹配 Pod 的所有子资源。
• */scale 匹配所有的 scale 子资源。

字段 resourceNames 是策略将匹配的资源实例名称列表。 使用此字段时，resources 必须指定。 空的 resourceNames 列表意味着资源的所有实例都会匹配到此策略。

字段 apiGroup 给出包含所引用对象的 API 组的名称。 空字符串代表 core API 组。

字段 apiVersion 是包含所引用对象的 API 组的版本。

与此规则匹配的请求所对应的日志记录级别（Level）。

根据身份认证所确定的用户名的列表，给出此规则所适用的用户。 空列表意味着适用于所有用户。

此规则所适用的用户组的列表。如果用户是所列用户组中任一用户组的成员，则视为匹配。 空列表意味着适用于所有用户组。

此规则所适用的动词（verb）列表。 空列表意味着适用于所有动词。

此规则所适用的资源类别列表。 空列表意味着适用于 API 组中的所有资源类别。

此规则所适用的名字空间列表。 空字符串（""）意味着适用于非名字空间作用域的资源。 空列表意味着适用于所有名字空间。

nonResourceURLs 是一组需要被审计的 URL 路径。 允许使用 *，但只能作为路径中最后一个完整分段。 例如：

字段 omitStages 是一个阶段（Stage）列表，针对所列的阶段服务器不会生成审计事件。 注意这一选项也可以在策略（Policy）级别指定。服务器审计组件会忽略 omitStages 中给出的阶段，也会忽略策略中给出的阶段。 空列表意味着不对阶段作任何限制。

omitManagedFields 决定将请求和响应主体写入 API 审计日志时，是否省略其托管字段。

• 值为 'true' 将从 API 审计日志中删除托管字段
• 值为 'false' 表示托管字段应包含在 API 审计日志中 请注意，如果指定此规则中的值将覆盖全局默认值。 如果未指定，则使用 policy.omitManagedFields 中指定的全局默认值。

plugins 字段允许为每个准入控制插件设置配置选项。

resources 是一个包含资源及其对应加密驱动的列表。

keys 是一个用于创建 AES 转换器的密钥列表。 对于 AES-CBC，每个密钥的长度必须是 32 字节； 对于 AES-GCM，每个密钥的长度可以是 16、24 或 32 字节。

name 是准入控制器的名称。它必须与所注册的准入插件名称匹配。

path 是指向包含插件配置信息的配置文件的路径。

configuration 是一个内嵌的配置对象，用来保存插件的配置信息。 如果存在，则使用这里的配置信息而不是指向配置文件的路径。

KeyManagementService 的 apiVersion

name 是要使用的 KMS 插件的名称。

cachesize 是内存中缓存的最大 Secret 数量。默认值为 1000。 设置为负值将禁用缓存。此字段仅允许用于 KMS v1 驱动。

endpoint 是 gRPC 服务器的监听地址，例如 "unix:///var/run/kms-provider.sock"。

timeout 是 gRPC 调用到 KMS 插件的超时时间（例如 5s）。默认值为 3 秒。

name 是在将数据存储到磁盘时所使用的密钥名称。

secret 是实际的密钥，以 base64 编码。

aesgcm 是 AES-GCM 转换器的配置。

aescbc 是 AES-CBC 转换器的配置。

secretbox 是基于 Secretbox 的转换器的配置。

identity 是身份转换器的（空）配置。

kms 包含 KMS 型信封转换器所用的配置文件的名称、缓存大小和路径。

resources 是一个需要加密的 Kubernetes 资源列表。 资源名称来源于组/版本/资源的 “resource” 或 “resource.group”。 例如，pandas.awesome.bears.example 是一个自定义资源，其 “group” 为 awesome.bears.example， “resource” 为 pandas。使用 “*.*” 以加密所有资源，使用 “*.<group>” 以加密特定组中的所有资源。 例如，“*.awesome.bears.example” 将加密 “awesome.bears.example” 组中的所有资源。 再比如，“*.” 将加密核心组中的所有资源（如 Pod、ConfigMap 等）。

providers 是从磁盘读取资源和写入资源到磁盘要使用的转换器的列表。 例如：aesgcm、aescbc、secretbox、identity、kms。

keys 是一个用于创建 Secretbox 转换器的密钥列表。每个密钥的长度必须为 32 字节。

采集器的端点，此组件将向其报告跟踪信息。 连接不安全，目前不支持 TLS。 推荐不设置，端点为 otlp grpc 默认值 localhost:4317。

SamplingRatePerMillion 是每百万 span 中采集的样本数。 推荐不设置。如果不设置，采集器将继承其父级 span 的采样率，否则不进行采样。

plugins 允许用户为每个准入控制插件指定设置。

jwt 是一个身份认证器列表，用于对使用符合 JWT 的令牌的 Kubernetes 用户进行身份认证。 身份认证器将尝试解析原始 ID 令牌，验证其是否由配置的发放者签名。用于验证签名的公钥是通过 OIDC 发现从颁发者的公开端点获取的。对于传入的令牌，将按照此列表中指定的顺序尝试每个 JWT 身份认证器。但是请注意，其他身份认证器可能会在 JWT 身份认证器之前或之后运行。JWT 身份认证器相对于其他身份认证器的具体位置在不同版本中既未定义也不稳定。由于每个 JWT 身份认证器必须具有唯一的颁发者 URL，因此最多只有一个 JWT 身份认证器会尝试基于密码学方法对对令牌进行合法性检查。

最小有效 JWT 负载必须包含以下声明：

{
    "iss": "https://issuer.example.com",
    "aud": ["audience"],
    "exp": 1234567890,
    "<username claim>": "username"
}

如果设置了此字段，则不得设置 --anonymous-auth。

authorizers 是一个有序的鉴权器列表，用于对请求进行鉴权。 这类似于 kube-apiserver --authorization-modes 标志。 此列表不能为空。

connectionServices 包含一组 Egress 选择算符客户端配置选项。

嵌入组件配置中的跟踪配置结构体。

name 是准入控制器的名称。此名称必须与所注册的准入插件名称匹配。

path 为指向包含插件配置数据的配置文件的路径。

configuration 是一个嵌入的配置对象，用作插件的配置数据来源。 如果设置了此字段，则使用此字段而不是指向配置文件的路径。

启用匿名身份认证的路径。

如果设置，只有在请求满足其中一个条件时才允许匿名身份认证。

type 指的是鉴权器的类型。 通用 API 服务器支持 "Webhook"。 其他 API 服务器可能支持其他授权者类型，如 Node、RBAC、ABAC 等。

name 是用于描述 webhook 的名称。 此字段专为监控机制中的指标提供。 注意：name 值必须是 DNS1123 标签，如 myauthorizername， 或子域名，如 myauthorizer.example.domain。 必需，没有默认值。

webhook 定义 Webhook 鉴权器的配置。 当 type=Webhook 时必须定义。 当 type!=Webhook 时不得定义。

username 表示用户名属性的一个选项。 声明的值必须是单一字符串。 与 --oidc-username-claim 和 --oidc-username-prefix 标志相同。 如果设置了 username.expression，则该表达式必须生成一个字符串值。 如果 username.expression 使用 'claims.email'，则必须在 username.expression 或 extra[*].valueExpression 或 claimValidationRules[*].expression 中使用 'claims.email_verified'。 这里有一个声明验证规则表达式的示例，当 username.claim 设置为 'email' 时与自动应用的验证所匹配： 'claims.?email_verified.orValue(true)'。

在基于标志的方法中，--oidc-username-claim 和 --oidc-username-prefix 是可选的。如果未设置 --oidc-username-claim，默认值为 "sub"。 对于身份认证配置，声明或前缀都没有默认值。声明和前缀必须显式设置。 对于声明，如果在传统标志方法中未设置 --oidc-username-claim， 请在身份认证配置中配置 username.claim="sub"。 对于前缀： (1) --oidc-username-prefix="-", 未添加前缀到用户名。要实现相同的行为，请在身份认证配置中设置 username.prefix="" (2) --oidc-username-prefix="" 并且 --oidc-username-claim != "email"， 前缀为 "<--oidc-issuer-url 的值>#"。要实现相同的行为，请在身份认证配置中设置 username.prefix="<issuer.url 的值>#"。 (3) --oidc-username-prefix="<value>"。要实现相同的行为，请在身份认证配置中设置 username.prefix="<value>"。

groups 表示 groups 属性的一个选项。 其中 claim 字段的值必须是字符串或字符串数组。 如果设置了 groups.claim，则必须指定 prefix 字段（可以是空字符串）。 如果设置了 groups.expression，则该表达式必须生成一个字符串或字符串数组值。 ""、[] 和 null 值被视为不存在组映射。

uid 表示 uid 属性的一个选项。 其中的 claim 字段必须是一个字符串。 如果设置了 uid.expression，则该表达式必须生成一个字符串值。

extra 表示 extra 属性的一个选项。 expression 必须生成一个字符串或字符串数组值。 如果值为空，则不会存在 extra 映射。

硬编码的额外 key/value

- key: "foo"
   valueExpression: "'bar'"

硬编码 key，value 从声明的值复制

 - key: "foo"
   valueExpression: "claims.some_claim"

结果会是一个 extra 属性 - foo: [some_claim 的值]

硬编码 key，value 从声明的值派生

- key: "admin"
  valueExpression: '(has(claims.is_admin) && claims.is_admin) ? "true":""'

这将导致：

• 如果 is_admin 声明存在且为 true，则添加 extra 属性 - admin: ["true"]
• 如果 is_admin 声明存在且为 false 或 is_admin 声明不存在，则不会添加 extra 属性

claim 是要使用的 JWT 声明。 claim 或 expression 必须设置一个。 与 expression 互斥。

expression 表示将由 CEL 求值的表达式。

CEL 表达式可以访问令牌声明的内容，这些内容被组织成 CEL 变量：

• 'claims' 是声明名称到声明值的映射。 例如，一个名为 'sub' 的变量可以通过 'claims.sub' 访问。 嵌套的声明可以使用点表示法访问，例如 'claims.foo.bar'。

关于 CEL 的文档：https://kubernetes.io/zh-cn/docs/reference/using-api/cel/

与 claim 互斥。

claim 是所需要的声明的名称。 与 --oidc-required-claim 标志相同。 仅支持用字符串声明键。 与 expression 和 message 互斥。

requiredValue 是声明中必须包含的值。 与 --oidc-required-claim 标志相同。 仅支持用字符串声明值。 如果设置了 claim 而未设置 requiredValue，则 claim 必须存在且值必须设置为空字符串。 与 expression 和 message 互斥。

expression 表示将由 CEL 求值的表达式。 必须生成一个布尔值。

CEL 表达式可以访问令牌声明的内容，这些内容被组织成 CEL 变量：

• 'claims' 是声明名称到声明值的映射。 例如，一个名为 'sub' 的变量可以通过 'claims.sub' 访问。 嵌套的声明可以使用点表示法访问，例如 'claims.foo.bar'。 必须返回 true，才有可能通过检查。

关于 CEL 的文档：https://kubernetes.io/zh-cn/docs/reference/using-api/cel/

与 claim 和 requiredValue 互斥。

message 自定义当 expression 返回 false 时的错误消息。 message 是一个文本字符串。 与 claim 和 requiredValue 互斥。

proxyProtocol 是客户端连接到 konnectivity 服务器所使用的协议。

transport 定义的是传输层的配置。我们使用这个配置来联系 konnectivity 服务器。 当 proxyProtocol 是 HTTPConnect 或 GRPC 时需要设置此字段。

name 是 Egress 选择器的名称。当前支持的取值有 "controlplane"， "master"，"etcd" 和 "cluster"。 "master" Egress 选择器已被弃用，推荐使用 "controlplane"。

connection 是用来配置 Egress 选择器的配置信息。

key 是用作 extra 属性键的字符串。 key 必须是域前缀路径（例如 example.org/foo）。第一个 "/" 之前的所有字符必须是符合 RFC 1123 定义的有效子域名。第一个 "/" 之后的所有字符必须是符合 RFC 3986 定义的有效 HTTP 路径字符。 key 必须是小写。必须是唯一的。

valueExpression 是一个 CEL 表达式，用于提取 extra 中的属性值。 valueExpression 必须生成一个字符串或字符串数组值。 ""、[] 和 null 值被视为不存在 extra 映射。 字符串数组中包含的空字符串值将被过滤掉。

CEL 表达式可以访问令牌声明的内容，这些内容被组织成 CEL 变量：

• 'claims' 是声明名称到声明值的映射。 例如，一个名为 'sub' 的变量可以通过 'claims.sub' 访问。 嵌套的声明可以使用点表示法访问，例如 'claims.foo.bar'。

关于 CEL 的文档：https://kubernetes.io/zh-cn/docs/reference/using-api/cel/

url 指向颁发者 URL，格式为 https://url 或 https://url/path。 此 URL 必须与所提供的 JWT 中的 "iss" 声明以及从发现中返回的颁发者匹配。 与 --oidc-issuer-url 标志的值相同。 除非被 discoveryURL 覆盖，否则发现信息将从 "{url}/.well-known/openid-configuration" 获取。 在所有 JWT 身份认证器中必须唯一。 请注意，此网络连接不使用出站流量选择配置。

discoveryURL（如果指定）会覆盖用于获取发现信息的 URL，而不是使用 "{url}/.well-known/openid-configuration"。 使用指定的确切值，因此如果需要，必须在 discoveryURL 中包含 "/.well-known/openid-configuration"。

所获取的发现信息中的 "issuer" 字段必须与 AuthenticationConfiguration 中的 "issuer.url" 字段匹配，并将用于检验所提供的 JWT 中的 "iss" 声明。 这适用于 well-known 和 jwks 端点托管在与颁发者不同的位置（例如在集群中本地托管）的场景。

示例： 发现 URL 是通过 Kubernetes 在命名空间 'oidc-namespace' 中的服务 'oidc' 公布的， 而访问 '/.well-known/openid-configuration' 可以获得发现信息。 discoveryURL: "https://oidc.oidc-namespace/.well-known/openid-configuration" certificateAuthority 用于验证 TLS 连接，叶证书上的主机名必须设置为 'oidc.oidc-namespace'。

curl https://oidc.oidc-namespace/.well-known/openid-configuration （discoveryURL 字段）
{
   issuer: "https://oidc.example.com" （url 字段）
}

discoveryURL 必须与 url 不同。 在所有 JWT 身份认证器中必须唯一。 请注意，此网络连接不使用出站流量选择配置。

certificateAuthority 包含 PEM 编码的证书颁发机构证书， 用于在获取发现信息时验证连接。 如果未设置，则使用系统验证器。 与 --oidc-ca-file 标志引用的文件内容相同。

audiences 是 JWT 必须签发给的可接受受众集。 所提供的 JWT 中的 "aud" 声明必须至少与其中一个条目匹配。 与 --oidc-client-id 标志的值相同（尽管此字段支持数组）。 必须为非空。

audienceMatchPolicy 定义了如何使用 "audiences" 字段来匹配所提供的 JWT 中的 "aud" 声明。 允许的值有：

1. "MatchAny" 当指定多个受众时
2. 空（或未设置）或 "MatchAny" （仅指定单个受众时）

• MatchAny：所提供的 JWT 中的 "aud" 声明必须至少与 "audiences" 字段中的一个条目匹配。例如，如果 "audiences" 是 ["foo", "bar"]， 则所提供的 JWT 中的 "aud" 声明必须包含 "foo" 或 "bar"（也可以同时包含两者）。

• ""：当 "audiences" 字段中指定单个受众时，匹配策略可以为空（或未设置）。 所提供的 JWT 中的 "aud" 声明必须包含该单个受众（并且可以包含其他受众）。

对于更精细的受众验证，请使用 claimValidationRules。 示例：claimValidationRule[].expression: 'sets.equivalent(claims.aud, ["bar", "foo", "baz"])' 以要求精确匹配。

issuer 包含基本的 OIDC 提供者连接选项。

claimValidationRules 是用于验证令牌声明以认证用户的规则。

claimMappings 指向要视为用户属性的令牌声明。

userValidationRules 是在完成身份认证之前应用于最终用户的规则。 这些规则允许将不变量应用于传入的身份，例如禁止使用 Kubernetes 组件常用的 system: 前缀。 验证规则在逻辑上是 AND 关系，必须全部返回 true 才能通过验证。

claim 是要使用的 JWT 声明。与 expression 互斥。

prefix 是添加到声明值前面的前缀，以防止与现有名称冲突。 如果设置了 claim，则需要设置 prefix，并且可以是空字符串。 与 expression 互斥。

expression 表示将由 CEL 评估的表达式。

CEL 表达式可以访问令牌声明的内容，这些内容被组织成 CEL 变量：

• 'claims' 是声明名称到声明值的映射。 例如，一个名为 'sub' 的变量可以通过 'claims.sub' 访问。 嵌套的声明可以使用点表示法访问，例如 'claims.foo.bar'。

关于 CEL 的文档：https://kubernetes.io/zh-cn/docs/reference/using-api/cel/

与 claim 和 prefix 互斥。

url 是要连接的 konnectivity 服务器的位置。例如 "https://127.0.0.1:8131"。

tlsConfig 是使用 TLS 来连接 konnectivity 服务器时需要的信息。

caBundle 是指向用来确定与 konnectivity 服务器间信任欢喜的 CA 证书包的文件位置。 当 tcpTransport.url 前缀为 "http://" 时必须不设置，或者设置为空。 如果 tcpTransport.url 前缀为 "https://" 并且此字段未设置，则默认使用系统的信任根。

clientKey 是与 konnectivity 服务器进行 mTLS 握手时使用的客户端秘钥文件位置。 如果 `tcp.url` 前缀为 http://，必须不指定或者为空； 如果 `tcp.url` 前缀为 https://，必须设置。

clientCert 是与 konnectivity 服务器进行 mTLS 握手时使用的客户端证书文件位置。 如果 `tcp.url` 前缀为 http://，必须不指定或者为空； 如果 `tcp.url` 前缀为 https://，必须设置。

tcp 包含通过 TCP 与 konnectivity 服务器通信时使用的 TCP 配置。 目前使用 TCP 传输时不支持 GRPC 的 proxyProtocol。 tcp 和 uds 二者至少设置一个。

uds 包含通过 UDS 与 konnectivity 服务器通信时使用的 UDS 配置。 tcp 和 uds 二者至少设置一个。

udsName 是与 konnectivity 服务器连接时使用的 UNIX 域套接字名称。 字段取值不要求包含 unix:// 前缀。 （例如：/etc/srv/kubernetes/konnectivity-server/konnectivity-server.socket）

expression 表示将由 CEL 求值的表达式。 验证通过时必须返回 true。

CEL 表达式可以访问 UserInfo 的内容，这些内容被组织成 CEL 变量：

• 'user' - authentication.k8s.io/v1，Kind=UserInfo 对象 关于 UserInfo 的定义，参阅 https://github.com/kubernetes/api/blob/release-1.28/authentication/v1/types.go#L105-L122。 API 文档：https://kubernetes.io/docs/reference/generated/kubernetes-api/v1.28/#userinfo-v1-authentication-k8s-io

关于 CEL 的文档：https://kubernetes.io/zh-cn/docs/reference/using-api/cel/

message 自定义当规则返回 false 时的错误消息。 message 是一个文本字符串。

对来自 Webhook 鉴权组件的 “authorized” 响应的缓存时长。 与设置 --authorization-webhook-cache-authorized-ttl 标志相同。 默认值：5m0s。

对来自 Webhook 鉴权组件的 “unauthorized” 响应的缓存时长。 与设置 --authorization-webhook-cache-unauthorized-ttl 标志相同。 默认值：30s

Webhook 请求超时时间。允许的最大时间为 30 秒。 必需，没有默认值。

要发送到 Webhook 并期望从 Webhook 获得的 authorization.k8s.io SubjectAccessReview 的 API 版本。 与设置 --authorization-webhook-version 标志相同。 有效值：v1beta1、v1。必需，无默认值

matchConditionSubjectAccessReviewVersion 指定对 CEL 表达式求值时使用的 SubjectAccessReview 版本。 有效值：v1。必需，无默认值。

控制当 Webhook 请求无法完成或返回格式错误的响应或计算 matchConditions 出现错误时的鉴权决定。 有效值：

• NoOpinion：继续执行后续鉴权组件，看其中是否有组件允许该请求；
• Deny：拒绝请求而不考虑后续鉴权组件。

connectionInfo 定义 Webhook 如何与服务器通信。

matchConditions 是将请求发送到此 Webhook 必须满足的条件列表。matchConditions 为空列表表示匹配所有请求。 最多允许 64 个匹配条件。

精确匹配逻辑如下（按顺序）：

1. 如果至少一个 matchCondition 计算结果为 FALSE，则跳过 Webhook。
2. 如果所有 matchConditions 计算结果为 TRUE，则调用 Webhook。
3. 如果至少一个 matchCondition 计算结果为错误（但没有一个为 FALSE）：
   • 如果 FailurePolicy=Deny，则 Webhook 拒绝请求
   • 如果 FailurePolicy=NoOpinion，则忽略错误并跳过 Webhook

控制 Webhook 如何与服务器通信。有效值：

• KubeConfigFile：使用 kubeConfigFile 中指定的文件来定位服务器。
• InClusterConfig：使用集群内配置来调用由 kube-apiserver 托管的 SubjectAccessReview API，kube-apiserver 不允许使用此模式。

包含连接信息的 KubeConfig 文件的路径。 如果 connectionInfo.type 是 KubeConfig，则为必需项。

表达式表示将由 CEL 求值的表达式。求值结果必须为布尔值。 CEL 表达式可以访问 v1 版本中的 SubjectAccessReview 的内容。 如果请求变量中 subjectAccessReviewVersion 指定的版本是 v1beta1， 在计算 CEL 表达式之前，内容将被转换为 v1 版本。

关于 CEL 文档: https://kubernetes.io/zh-cn/docs/reference/using-api/cel/

采集器的端点，此组件将向其报告跟踪信息。 连接不安全，目前不支持 TLS。 推荐不设置，端点为 otlp grpc 默认值 localhost:4317。

samplingRatePerMillion 是每百万 span 中采集的样本数。 推荐不设置。如果不设置，采集器将继承其父级 span 的采样率，否则不进行采样。

jwt 是一个身份认证器列表，用于对使用符合 JWT 的令牌的 Kubernetes 用户进行身份认证。 身份认证器将尝试解析原始 ID 令牌，验证其是否由配置的发放者签名。用于验证签名的公钥是通过 OIDC 发现从颁发者的公开端点获取的。对于传入的令牌，将按照此列表中指定的顺序尝试每个 JWT 身份认证器。但是请注意，其他身份认证器可能会在 JWT 身份认证器之前或之后运行。JWT 身份认证器相对于其他身份认证器的具体位置在不同版本中既未定义也不稳定。由于每个 JWT 身份认证器必须具有唯一的颁发者 URL，因此最多只有一个 JWT 身份认证器会尝试基于密码学方法对令牌进行合法性检查。

最小有效 JWT 负载必须包含以下声明：

{
    "iss": "https://issuer.example.com",
    "aud": ["audience"],
    "exp": 1234567890,
    "<username claim>": "username"
}

如果设置了此字段，则不得设置 --anonymous-auth。

authorizers 是一个有序的鉴权器列表，用于对请求进行鉴权。 这类似于 kube-apiserver --authorization-modes 标志。 此列表不能为空。

connectionServices 包含一组出站流量选择器客户端（Egress Selector Client）配置选项。

嵌入组件配置中的跟踪配置结构体。

启用匿名身份认证的路径。

如果设置，只有在请求满足其中一个条件时才允许匿名身份认证。

type 指的是鉴权器的类型。 通用 API 服务器支持 "Webhook"。 其他 API 服务器可能支持其他鉴权器类型，如 Node、RBAC、ABAC 等。

name 是用于描述 webhook 的名称。 此字段专为监控机制中的指标提供。 注意：name 值必须是 DNS1123 标签，如 myauthorizername， 或子域名，如 myauthorizer.example.domain。 必需，没有默认值。

webhook 定义 Webhook 鉴权器的配置。 当 type=Webhook 时必须定义。 当 type!=Webhook 时不得定义。

username 表示用户名属性的一个选项。 声明的值必须是单一字符串。 与 --oidc-username-claim 和 --oidc-username-prefix 标志相同。 如果设置了 username.expression，则该表达式必须生成一个字符串值。 如果 username.expression 使用 'claims.email'，则必须在 username.expression 或 extra[*].valueExpression 或 claimValidationRules[*].expression 中使用 'claims.email_verified'。 这里有一个声明验证规则表达式的示例，当 username.claim 设置为 'email' 时与自动应用的验证所匹配： 'claims.?email_verified.orValue(true)'。

在基于标志的方法中，--oidc-username-claim 和 --oidc-username-prefix 是可选的。如果未设置 --oidc-username-claim，默认值为 "sub"。 对于身份认证配置，声明或前缀都没有默认值。声明和前缀必须显式设置。 对于声明，如果在传统标志方法中未设置 --oidc-username-claim， 请在身份认证配置中配置 username.claim="sub"。 对于前缀： (1) --oidc-username-prefix="-", 未添加前缀到用户名。要实现相同的行为，请在身份认证配置中设置 username.prefix="" (2) --oidc-username-prefix="" 并且 --oidc-username-claim != "email"， 前缀为 "<--oidc-issuer-url 的值>#"。要实现相同的行为，请在身份认证配置中设置 username.prefix="<issuer.url 的值>#"。 (3) --oidc-username-prefix="<value>"。要实现相同的行为，请在身份认证配置中设置 username.prefix="<value>"。

groups 表示 groups 属性的一个选项。 其中 claim 字段的值必须是字符串或字符串数组。 如果设置了 groups.claim，则必须指定 prefix 字段（可以是空字符串）。 如果设置了 groups.expression，则该表达式必须生成一个字符串或字符串数组值。 ""、[] 和 null 值被视为不存在组映射。

uid 表示 uid 属性的一个选项。 其中的 claim 字段必须是一个字符串。 如果设置了 uid.expression，则该表达式必须生成一个字符串值。

extra 表示 extra 属性的一个选项。 expression 必须生成一个字符串或字符串数组值。 如果值为空，则不会存在 extra 映射。

硬编码的额外 key/value

- key: "foo"
   valueExpression: "'bar'"

硬编码 key，value 从声明的值复制

 - key: "foo"
   valueExpression: "claims.some_claim"

结果会是一个 extra 属性 - foo: [some_claim 的值]

硬编码 key，value 从声明的值派生

- key: "admin"
  valueExpression: '(has(claims.is_admin) && claims.is_admin) ? "true":""'

这将导致：

• 如果 is_admin 声明存在且为 true，则添加 extra 属性 - admin: ["true"]
• 如果 is_admin 声明存在且为 false 或 is_admin 声明不存在，则不会添加 extra 属性

claim 是要使用的 JWT 声明。 claim 或 expression 必须设置一个。 与 expression 互斥。

expression 表示将由 CEL 求值的表达式。

CEL 表达式可以访问令牌声明的内容，这些内容被组织成 CEL 变量：

• 'claims' 是声明名称到声明值的映射。 例如，一个名为 'sub' 的变量可以通过 'claims.sub' 访问。 嵌套的声明可以使用点表示法访问，例如 'claims.foo.bar'。

关于 CEL 的文档：https://kubernetes.io/zh-cn/docs/reference/using-api/cel/

与 claim 互斥。

claim 是所需要的声明的名称。 与 --oidc-required-claim 标志相同。 仅支持用字符串声明键。 与 expression 和 message 互斥。

requiredValue 是声明中必须包含的值。 与 --oidc-required-claim 标志相同。 仅支持用字符串声明值。 如果设置了 claim 而未设置 requiredValue，则 claim 必须存在且值必须设置为空字符串。 与 expression 和 message 互斥。

expression 表示将由 CEL 求值的表达式。 必须生成一个布尔值。

CEL 表达式可以访问令牌声明的内容，这些内容被组织成 CEL 变量：

• 'claims' 是声明名称到声明值的映射。 例如，一个名为 'sub' 的变量可以通过 'claims.sub' 访问。 嵌套的声明可以使用点表示法访问，例如 'claims.foo.bar'。 必须返回 true，才有可能通过检查。

关于 CEL 的文档：https://kubernetes.io/zh-cn/docs/reference/using-api/cel/

与 claim 和 requiredValue 互斥。

message 自定义当 expression 返回 false 时的错误消息。 message 是一个字符串文字。 与 claim 和 requiredValue 互斥。

proxyProtocol 是客户端连接到 konnectivity 服务器所使用的协议。

transport 定义的是传输层的配置。我们使用这个配置来联系 konnectivity 服务器。 当 proxyProtocol 是 HTTPConnect 或 GRPC 时需要设置此字段。

name 是出站流量选择（egress selection）的名称。当前支持的取值有 "controlplane"， "master"，"etcd" 和 "cluster"。 "master" 出站流量选择（egress selection）已被弃用，推荐使用 "controlplane"。

connection 是用来配置出站流量选择（egress selection）的确切信息。

key 是用作 extra 属性键的字符串。 key 必须是域前缀路径（例如 example.org/foo）。第一个 "/" 之前的所有字符必须是符合 RFC 1123 定义的有效子域名。第一个 "/" 之后的所有字符必须是符合 RFC 3986 定义的有效 HTTP 路径字符。 key 必须是小写。 必须是唯一的。

valueExpression 是一个 CEL 表达式，用于提取 extra 中的属性值。 valueExpression 必须生成一个字符串或字符串数组值。 ""、[] 和 null 值被视为不存在 extra 映射。 字符串数组中包含的空字符串值将被过滤掉。

CEL 表达式可以访问令牌声明的内容，这些内容被组织成 CEL 变量：

• 'claims' 是声明名称到声明值的映射。 例如，一个名为 'sub' 的变量可以通过 'claims.sub' 访问。 嵌套的声明可以使用点表示法访问，例如 'claims.foo.bar'。

关于 CEL 的文档：https://kubernetes.io/zh-cn/docs/reference/using-api/cel/

url 指向颁发者 URL，格式为 https://url 或 https://url/path。 此 URL 必须与所提供的 JWT 中的 "iss" 声明以及从发现中返回的颁发者匹配。 与 --oidc-issuer-url 标志的值相同。 除非被 discoveryURL 覆盖，否则发现信息将从 "{url}/.well-known/openid-configuration" 获取。 在所有 JWT 身份认证器中必须唯一。 请注意，此网络连接不使用出站流量选择配置。

discoveryURL（如果指定）会覆盖用于获取发现信息的 URL，而不是使用 "{url}/.well-known/openid-configuration"。 使用指定的确切值，因此如果需要，必须在 discoveryURL 中包含 "/.well-known/openid-configuration"。

所获取的发现信息中的 "issuer" 字段必须与 AuthenticationConfiguration 中的 "issuer.url" 字段匹配，并将用于检验所提供的 JWT 中的 "iss" 声明。 这适用于 well-known 和 jwks 端点托管在与颁发者不同的位置（例如在集群中本地托管）的场景。

示例： 发现 URL 是通过 Kubernetes 在命名空间 'oidc-namespace' 中的服务 'oidc' 公布的， 而访问 '/.well-known/openid-configuration' 可以获得发现信息。 discoveryURL: "https://oidc.oidc-namespace/.well-known/openid-configuration" certificateAuthority 用于验证 TLS 连接，叶证书上的主机名必须设置为 'oidc.oidc-namespace'。

curl https://oidc.oidc-namespace/.well-known/openid-configuration （discoveryURL 字段）
{
   issuer: "https://oidc.example.com" （url 字段）
}

discoveryURL 必须与 url 不同。 在所有 JWT 身份认证器中必须唯一。 请注意，此网络连接不使用出站流量选择配置。

certificateAuthority 包含 PEM 编码的证书颁发机构证书， 用于在获取发现信息时验证连接。 如果未设置，则使用系统验证器。 与 --oidc-ca-file 标志引用的文件内容相同。

audiences 是 JWT 必须签发给的可接受受众集。 所提供的 JWT 中的 "aud" 声明必须至少与其中一个条目匹配。 与 --oidc-client-id 标志的值相同（尽管此字段支持数组）。 必须为非空。

audienceMatchPolicy 定义了如何使用 "audiences" 字段来匹配所提供的 JWT 中的 "aud" 声明。 允许的值有：

1. "MatchAny" 当指定多个受众时
2. 空（或未设置）或 "MatchAny" （仅指定单个受众时）

• MatchAny：所提供的 JWT 中的 "aud" 声明必须至少与 "audiences" 字段中的一个条目匹配。 例如，如果 "audiences" 是 ["foo", "bar"]，则所提供的 JWT 中的 "aud" 声明必须包含 "foo" 或 "bar"（也可以同时包含两者）。

• ""：当 "audiences" 字段中指定单个受众时，匹配策略可以为空（或未设置）。 所提供的 JWT 中的 "aud" 声明必须包含该单个受众（并且可以包含其他受众）。

对于更精细的受众验证，请使用 claimValidationRules。 示例：claimValidationRule[].expression: 'sets.equivalent(claims.aud, ["bar", "foo", "baz"])' 以要求精确匹配。

issuer 包含基本的 OIDC 提供者连接选项。

claimValidationRules 是用于验证令牌声明以认证用户的规则。

claimMappings 指向要视为用户属性的令牌声明。

userValidationRules 是在完成身份认证之前应用于最终用户的规则。 这些规则允许将不变量应用于传入的身份，例如禁止使用 Kubernetes 组件常用的 system: 前缀。 验证规则在逻辑上是 AND 关系，必须全部返回 true 才能通过验证。

claim 是要使用的 JWT 声明。 与 expression 互斥。

prefix 是添加到声明值前面的前缀，以防止与现有名称冲突。 如果设置了 claim，则需要设置 prefix，并且可以是空字符串。 与 expression 互斥。

expression 表示将由 CEL 评估的表达式。

CEL 表达式可以访问令牌声明的内容，这些内容被组织成 CEL 变量：

• 'claims' 是声明名称到声明值的映射。 例如，一个名为 'sub' 的变量可以通过 'claims.sub' 访问。 嵌套的声明可以使用点表示法访问，例如 'claims.foo.bar'。

关于 CEL 的文档：https://kubernetes.io/zh-cn/docs/reference/using-api/cel/

与 claim 和 prefix 互斥。

url 是要连接的 konnectivity 服务器的位置。例如 "https://127.0.0.1:8131"。

tlsConfig 是使用 TLS 来连接 konnectivity 服务器时需要的信息。

caBundle 是指向用来确定与 konnectivity 服务器间信任关系的 CA 证书包的文件位置。 如果 TCPTransport.URL 前缀为 "http://" 时必须不设置，或者设置为空。 如果 TCPTransport.URL 前缀为 "https://" 并且此字段未设置，则默认使用系统的信任根。

clientKey 是与 konnectivity 服务器进行 mTLS 握手时使用的客户端秘钥文件位置。 如果 TCPTransport.URL 前缀为 http://，必须不指定或者为空； 如果 TCPTransport.URL 前缀为 https://，必须设置。

clientCert 是与 konnectivity 服务器进行 mTLS 握手时使用的客户端证书文件位置。 如果 TCPTransport.URL 前缀为 http://，必须不指定或者为空； 如果 TCPTransport.URL 前缀为 https://，必须设置。

tcp 包含通过 TCP 与 konnectivity 服务器通信时使用的 TCP 配置。 目前使用 TCP 传输时不支持 GRPC 的 proxyProtocol。 tcp 和 uds 二者至少设置一个。

uds 包含通过 UDS 与 konnectivity 服务器通信时使用的 UDS 配置。 tcp 和 uds 二者至少设置一个。

udsName 是与 konnectivity 服务器连接时使用的 UNIX 域套接字名称。 字段取值不要求包含 unix:// 前缀。 （例如：/etc/srv/kubernetes/konnectivity-server/konnectivity-server.socket）

expression 表示将由 CEL 求值的表达式。 验证通过时必须返回 true。

CEL 表达式可以访问 UserInfo 的内容，这些内容被组织成 CEL 变量：

• 'user' - authentication.k8s.io/v1，Kind=UserInfo 对象 关于 UserInfo 的定义，参阅 https://github.com/kubernetes/api/blob/release-1.28/authentication/v1/types.go#L105-L122。 API 文档：https://kubernetes.io/docs/reference/generated/kubernetes-api/v1.28/#userinfo-v1-authentication-k8s-io

关于 CEL 的文档：https://kubernetes.io/zh-cn/docs/reference/using-api/cel/

message 自定义当规则返回 false 时的错误消息。 message 是一个字符串文字。

对来自 Webhook 鉴权组件的 “authorized” 响应的缓存时长。 与设置 --authorization-webhook-cache-authorized-ttl 标志相同。 默认值：5m0s。

对来自 Webhook 鉴权组件的 “unauthorized” 响应的缓存时长。 与设置 --authorization-webhook-cache-unauthorized-ttl 标志相同。 默认值：30s

Webhook 请求超时时间。 允许的最大时间为 30 秒。 必需，没有默认值。

要发送到 Webhook 并期望从 Webhook 获得的 authorization.k8s.io SubjectAccessReview 的 API 版本。 与设置 --authorization-webhook-version 标志相同。 有效值：v1beta1、v1。 必需，无默认值

matchConditionSubjectAccessReviewVersion 指定对 CEL 表达式求值时使用的 SubjectAccessReview 版本。 有效值：v1。必需，无默认值。

控制当 Webhook 请求无法完成或返回格式错误的响应或计算 matchConditions 出现错误时的鉴权决定。 有效值：

• NoOpinion：继续执行后续鉴权组件，看其中是否有组件允许该请求；
• Deny：拒绝请求而不考虑后续鉴权组件。

ConnectionInfo 定义 Webhook 如何与服务器通信。

matchConditions 是将请求发送到此 Webhook 必须满足的条件列表。matchConditions 为空列表表示匹配所有请求。 最多允许 64 个匹配条件。

精确匹配逻辑如下（按顺序）：

1. 如果至少一个 matchCondition 计算结果为 FALSE，则跳过 Webhook。
2. 如果所有 matchConditions 计算结果为 TRUE，则调用 Webhook。
3. 如果至少一个 matchCondition 计算结果为错误（但没有一个为 FALSE）：
   • 如果 FailurePolicy=Deny，则 Webhook 拒绝请求
   • 如果 FailurePolicy=NoOpinion，则忽略错误并跳过 Webhook

控制 Webhook 如何与服务器通信。 有效值：

• KubeConfigFile：使用 kubeConfigFile 中指定的文件来定位服务器。
• InClusterConfig：使用集群内配置来调用由 kube-apiserver 托管的 SubjectAccessReview API，kube-apiserver 不允许使用此模式。

包含连接信息的 KubeConfig 文件的路径。 如果 connectionInfo.type 是 KubeConfig，则为必需项。

expression 表示将由 CEL 求值的表达式。求值结果必须为布尔值。 CEL 表达式可以访问 v1 版本中的 SubjectAccessReview 的内容。 如果请求变量中 subjectAccessReviewVersion 指定的版本是 v1beta1， 在计算 CEL 表达式之前，内容将被转换为 v1 版本。

关于 CEL 文档: https://kubernetes.io/zh-cn/docs/reference/using-api/cel/

ConcurrentNodeSyncs 是并发执行以进行节点同步的工作程序的数量。

concurrentServiceSyncs 是允许同时同步的服务数。 数量越大表示服务管理响应越快，但 CPU（和网络）负载也越高。

Generic 包含通用控制器管理器的配置。

KubeCloudSharedConfiguration 保存被云控制器管理器和 kube-controller 管理器共享的相关特性的配置。

NodeController 保存与节点控制器相关的特性的配置。

ServiceControllerConfiguration 保存 ServiceController 相关的特性的配置。

NodeStatusUpdateFrequency 是控制器更新节点状态的频率。

Webhook 是云控制器管理器托管的 webhook 的配置。

Name 是云服务的提供商。

cloudConfigFile 是云提供程序配置文件的路径。

CloudProviderConfiguration 保存 CloudProvider 相关特性的配置。

当 cloudProvider 为 "external" 时，externalCloudVolumePlugin 用于指定插件。 它目前被仓库内的云驱动用于处理 KCM 中的节点和卷控制。

useServiceAccountCredentials 指出控制器是否应使用独立的服务帐户凭据运行。

使用未标记的云实例运行。

routeReconciliationPeriod 是云驱动商为节点创建的路由的调和周期。

nodeMonitorPeriod 是 NodeController 同步 NodeStatus 的周期。

clusterName 是集群的实例前缀。

clusterCIDR 是集群中 Pod CIDR 的范围。

AllocateNodeCIDRs 允许为 Pod 分配 CIDR， 如果 ConfigureCloudRoutes 为 true，则允许在对云驱动商设置 CIDR。

CIDRAllocatorType 决定使用哪种类型的 Pod CIDR 分配器。

configureCloudRoutes 使通过 allocateNodeCIDRs 分配的 CIDR 能够在云提供商上配置。

nodeSyncPeriod 从云平台同步节点的周期。 周期较长时，调用云平台的次数减少， 但向集群添加新节点可能会延迟。

Webhooks 是要启用或者禁用的 Webhook 的列表。 '*' 表示"所有默认启用的 webhook "， 'foo' 表示"启用 'foo'"， '-foo' 表示"禁用 'foo'"， 特定名称的首个项有效。

LeaderName 是保护迁移的领导者选举资源的名称，例如：1-20-KCM-to-1-21-CCM。

ResourceLock 表示将被用于加锁的资源对象类型， 应该是 "leases" 或者是 "endpoints"。

ControllerLeaders 包含迁移领导者锁配置列表。

Name 是正被迁移的控制器的名称，例如：service-controller、route-controller、cloud-node-controller 等等

Component 是控制器运行所处的组件的名称。 例如，kube-controller-manager、cloud-controller-manager 等。 或者 “*” 表示控制器可以在任何正在参与迁移的组件中运行。

port 是控制器管理器运行 HTTP 服务运行的端口。

address 是提供服务所用的 IP 地址（所有接口设置为 0.0.0.0）。

minResyncPeriod 是反射器的重新同步周期；大小是在 minResyncPeriod 和 2*minResyncPeriod 范围内的随机数。

ClientConnection 指定代理服务器在与 API 服务器通信时使用的 kubeconfig 文件和客户端连接设置。

两次启动控制器管理器之间的间隔时间。

leaderElection 定义领导者选举客户端的配置。

Controllers 是要启用或者禁用的控制器列表。 '*' 表示"所有默认启用的控制器"， 'foo' 表示"启用 'foo'"， '-foo' 表示"禁用 'foo'"， 特定名称的首个项有效。

DebuggingConfiguration 保存调试相关特性的配置。

LeaderMigrationEnabled 指示是否应为控制器管理器启用领导者迁移（Leader Migration）。

LeaderMigration 保存领导者迁移的配置。

Generic 保存通用控制器管理器的配置。

KubeCloudSharedConfiguration 保存云控制器管理器和 kube-controller 管理器间共享的相关特性的配置。

AttachDetachControllerConfiguration 包含 AttachDetachController 相关特性的配置。

CSRSigningControllerConfiguration 包含 CSRSigningController 相关特性的配置。

DaemonSetControllerConfiguration 包含 DaemonSetController 相关特性的配置。

DeploymentControllerConfiguration 包含 DeploymentController 相关特性的配置。

StatefulSetControllerConfiguration 包含 StatefulSetController 相关特性的配置。

DeprecatedControllerConfiguration 包含一些已弃用的特性的配置。

EndpointControllerConfiguration 包含 EndpointController 相关特性的配置。

EndpointSliceControllerConfiguration 包含 EndpointSliceController 相关特性的配置。

EndpointSliceMirroringControllerConfiguration 包含 EndpointSliceMirroringController 相关特性的配置。

EphemeralVolumeControllerConfiguration 包含 EphemeralVolumeController 相关特性的配置。

GarbageCollectorControllerConfiguration 包含 GarbageCollectorController 相关特性的配置。

HPAControllerConfiguration 包含 HPAController 相关特性的配置。

HPAControllerConfiguration 包含 JobController 相关特性的配置。

CronJobControllerConfiguration 包含 CronJobController 相关特性的配置。

LegacySATokenCleanerConfiguration 包含 LegacySATokenCleaner 相关特性的配置。

NamespaceControllerConfiguration 包含 NamespaceController 相关特性的配置。

NodeIPAMControllerConfiguration 包含 NodeIPAMController 相关特性的配置。

NodeLifecycleControllerConfiguration 包含 NodeLifecycleController 相关特性的配置。

PersistentVolumeBinderControllerConfiguration 包含 PersistentVolumeBinderController 相关特性的配置。

PodGCControllerConfiguration 包含 PodGCController 相关特性的配置。

ReplicaSetControllerConfiguration 包含 ReplicaSetController 相关特性的配置。

ReplicationControllerConfiguration 包含 ReplicationController 相关特性的配置。

ResourceQuotaControllerConfiguration 包含 ResourceQuotaController 相关特性的配置。

SAControllerConfiguration 包含 ServiceAccountController 相关特性的配置。

ServiceControllerConfiguration 包含 ServiceController 相关特性的配置。

TTLAfterFinishedControllerConfiguration 包含 TTLAfterFinishedController 相关特性的配置。

ValidatingAdmissionPolicyStatusControllerConfiguration 包含 ValidatingAdmissionPolicyStatusController 相关特性的配置。

Reconciler 运行一个周期性循环，通过触发 attach/detach 操作来协调期望状态与实际状态。 此标志启用或禁用调和操作。默认为 false，即被启用的。

ReconcilerSyncLoopPeriod 是调和器在连续执行同步状态的循环间，所等待的时间量。 默认为 60 秒。

当超过最大卸载时间时，DisableForceDetachOnTimeout 将禁用强制分离。 默认情况下为 false，因此启用卸载时强制分离。

certFile 是包含 PEM 编码的 X509 CA 证书的文件名，用于颁发证书。

keyFile 是包含 PEM 编码的 RSA 或 ECDSA 私钥的文件名，用于颁发证书。

clusterSigningCertFile 是包含 PEM 编码的 X509 CA 证书的文件名，该证书用于颁发集群范围的证书。

clusterSigningCertFile 是包含 PEM 编码的 RSA 或 ECDSA 私钥的文件名，用于颁发集群范围的证书。

kubeletServingSignerConfiguration 保存用于为 kubernetes.io/kubelet-serving 签名者颁发证书的证书和密钥。

kubeletClientSignerConfiguration 保存用于为 kubernetes.io/kube-apiserver-client-kubelet 颁发证书的证书和密钥。

kubeAPIServerClientSignerConfiguration 保存用于为 kubernetes.io/kube-apiserver-client 颁发证书的证书和密钥。

legacyUnknownSignerConfiguration 保存用于颁发 kubernetes.io/legacy-unknown 证书的证书和密钥。

clusterSigningDuration 是签名证书的最长持续时间。 单个 CSRs 可以通过设置 spec.expirationSeconds 来请求有效期更短的证书。

concurrentCronJobSyncs 是允许并发同步的 Job 对象的数量。 数量越大意味着 Job 响应越快，但 CPU（和网络）负载也越高。

concurrentDaemonSetSyncs 是允许并发同步的 DaemonSet 对象的数量。 数目越大意味着 DaemonSet 响应越快，但 CPU（和网络）负载也越高。

concurrentDeploymentSyncs 是允许并发同步的 Deployment 对象的数量。 数量越大意味着 Deployment 响应更越快，但 CPU（和网络）负载也越高。

concurrentEndpointSyncs 是将并发执行的 Endpoints 同步操作的数量。 数字越大意味着 Endpoints 更新越快，但 CPU（和网络）负载也越高。

EndpointUpdatesBatchPeriod 描述批量更新 Endpoints 的周期长度。 Pod 更改的处理将被延迟相同的时长，以便将它们与即将到来的更新连接起来，并减少 Endpoints 更新的总数。

concurrentServiceEndpointSyncs 是将并发完成的服务端点同步操作的数量。 数字越大意味着 EndpointSlice 更新越快，但 CPU（和网络）负载也越高。

maxEndpointsPerSlice 是将添加到 EndpointSlice 的最大端点数。 每个切片的端点越多，端点切片就会更少、更大，但资源消耗就会更多。

EndpointUpdatesBatchPeriod 描述批量更新 Endpoints 的周期长度。 Pod 更改的处理将被延迟相同的时长，以便将它们与即将到来的更新连接起来，并减少 Endpoints 更新的总数。

mirroringConcurrentServiceEndpointSyncs 是将并发完成的服务端点同步操作的数量。 数字越大意味着 EndpointSlice 更新越快，但 CPU（和网络）负载也越高。

mirroringMaxEndpointsPerSubset 是把 EndpointSubset 映射到 EndpointSlice 的端点数上限。

mirroringEndpointUpdatesBatchPeriod 可用于批量更新 EndpointSlice。 所有由 EndpointSlice 更改触发的更新可能被延迟，延迟的时间长度上限为 “mirroringEndpointUpdatesBatchPeriod”。 如果同一 Endpoints 资源中的其他地址在此期间发生变化，它们将被合并到同一个 EndpointSlice 更新中以实现批处理。 默认值 0 表示 Endpoints 的每次更新都会触发一次 EndpointSlice 更新。

ConcurrentEphemeralVolumeSyncseSyncs 是并发执行的临时卷同步操作数量。 数字越大意味着临时卷更新越快，但 CPU（和网络）负载也越高。

启用通用垃圾收集器。必须与 kube-apiserver 的相应标志同步。 警告：通用垃圾收集器是一个 Alpha 特性。

concurrentGCSyncs 是允许垃圾收集器并发同步的工作线程的数量。

gcIgnoredResources 是垃圾收集应该忽略的 GroupResource 列表。

group 是 GroupResource 的 group 部分。

resource 是 GroupResource 的 resource 部分。

ConcurrentHorizontalPodAutoscalerSyncs 是允许并发同步的 HPA 对象的数量。 数字越大意味着 HPA 处理响应越快，但 CPU（和网络）负载也越高。

HorizontalPodAutoscalerSyncPeriod 是对 HPA 中 Pod 数量进行同步的周期。

horizontalpodautoscalerdowncalstabilizationwindow 是一个自动缩放器要回顾的时段长度， 在所给时段内，自动缩放器不会按照建议执行任何缩容操作。

HorizontalPodAutoscalerTolerance 是当资源用量表明需要扩容/缩容时的容忍度。

HorizontalPodAutoscalerCPUInitializationPeriod 是 Pod 启动后可以跳过时间段，这段时间内部执行 CPU 采样。

HorizontalPodAutoscalerInitialReadinessDelay 是 Pod 启动后的一段时间， 在此期间，readiness 状态的变更被视为初次设置 readiness 状态。 这样做的唯一影响是，对于在此期间发生 readiness 状态变化但未准备好的 Pod，HPA 将忽略其 CPU 采样值。

concurrentJobSyncs 是允许并发同步的 Job 对象的数量。 数字越大意味着 Job 响应越快，但 CPU（和网络）负载也越高。

CleanUpPeriod 是自动生成的服务帐户令牌上次被使用以来的时长，超出此时长的令牌可被清理。

namespaceSyncPeriod 是对名字空间生命周期更新进行同步的周期。

concurrentNamespaceSyncs 是允许并发同步的 Namespace 对象的数量。

serviceCIDR 为集群中 Service 的 CIDR 范围。

SecondaryServiceCIDR 为集群中 Service 的 CIDR 范围。此字段用于双栈集群。 SecondaryServiceCIDR 和 ServiceCIDR 的 IP 族不能相同。

NodeCIDRMaskSize 为集群中节点 CIDR 的掩码大小。

NodeCIDRMaskSizeIPv4 为双栈集群中节点 CIDR 的掩码大小。

NodeCIDRMaskSizeIPv6 为双栈集群中节点 CIDR 的掩码大小。

nodeEvictionRate 是在区域健康时，如果节点发生故障，每秒删除 Pod 的节点数。

secondaryNodeEvictionRate 是在区域不健康时，如果节点故障，每秒删除 Pod 的节点数。

nodeStartupGracePeriod 是在将节点标记为不健康之前允许启动节点无响应的时长。

nodeMontiorGracePeriod 是在将运行中的节点标记为不健康之前允许其无响应的时长。 必须是 kubelet 的 nodeStatusUpdateFrequency 的 N 倍，其中 N 表示允许 kubelet 发布节点状态的重试次数。

podEvictionTimeout 为删除故障节点上的 Pod 的宽限时间。

对于规模小于或等于 largeClusterSizeThreshold 的集群，secondaryNodeEvictionRate 会被隐式覆盖，取值为 0。

当区域中至少有 unhealthyZoneThreshold（不少于 3 个）的节点处于 NotReady 状态时， nodeEvctionRate 和 secondaryNodeEvictionRate 两个属性的判定逻辑会将区域视为不健康。

pvClaimBinderSyncPeriod 用于同步 PV 和 PVC 的周期。

volumeConfiguration 包含卷相关特性的配置。

maximumRetry 是当 PV 回收失败时，PV 回收器重试的次数。

minimumTimeoutNFS 是用于 NFS 回收器的，用于设置 Pod 的最小 ActiveDeadlineSeconds。

podTemplateFilePathNFS 是一个 Pod 定义文件的路径，该文件将被用作 NFS PV 卷回收模板。

incrementTimeoutNFS 提供给 NFS 清理器 Pod 的设置值，数据卷每增加 1 GiB， 则需要向 Pod 中的 activeDeadlineSeconds 参数增加这里所给的秒数。

podTemplateFilePathHostPath 是一个 Pod 定义文件的路径，该文件将被作为 HostPath PV 卷回收模板。 此字段仅用于开发和测试场景，在多节点集群中无法正常工作。

minimumTimeoutHostPath 是用于 HostPath 回收器 Pod 的 activeDeadlineSeconds 属性值下限。 此字段仅用于开发和测试场景，在多节点集群中无法正常工作。

incrementTimeoutHostPath 是提供给 HostPath 清理器 Pod 的配置值， HostPath 卷的尺寸每增加 1 GiB，则需要为 Pod 的 activeDeadlineSeconds 属性增加这里所给的秒数。 回收器 Pod 的 activeDeadlineSeconds 属性值下限。

terminatedPodGCThreshold 是提供给回收已终止 Pod 的垃圾收集器的， 所设置的数字是在垃圾收集器开始删除某 Pod 之前可以存在的、已终止 Pod 的个数。 如果 <= 0，则禁用已终止的 Pod 垃圾收集器。

concurrentRSSyncs 是允许并发同步的 ReplicaSet 的数量。 数量越大意味着副本管理响应越快，但 CPU（和网络）负载也越高。

concurrentRCSyncs 是允许并发同步的 ReplicationController 数量。 数量越大意味着副本管理响应越快，但 CPU（和网络）负载也越高。

resourceQuotaSyncPeriod 是系统中 Quota 使用状态的同步周期。

concurrentResourceQuotaSyncs 是允许并发同步的 ResourcQuota 数目。 数量越大意味着配额管理响应越快，但 CPU（和网络）负载也越高。

serviceAccountKeyFile 是包含 PEM 编码的用于签署服务帐户令牌的 RSA 私钥的文件名。

concurrentSATokenSyncs 是将并发完成的服务帐户令牌同步操作的数量。

rootCAFile 是根证书颁发机构将被包含在 ServiceAccount 的令牌 Secret 中。 所提供的数据必须是一个有效的 PEM 编码的 CA 包。

concurrentStatefulSetSyncs 是允许并发同步的 StatefulSet 对象的数量。 数字越大意味着 StatefulSet 响应越快，但 CPU（和网络）负载也越高。

concurrentTTLSyncs 是允许并发同步的 TTL-after-finished 收集器工作线程的数量。

ConcurrentPolicySyncs 是允许并发同步的策略对象的数量。 数字越大意味着类型检查越快，但 CPU（和网络）负载越高。 默认值为 5。

enableHostPathProvisioning 在没有云驱动的情况下允许制备 HostPath PV。 此特性用来测试和开发 PV 卷制备特性。HostPath 配置完全不受支持，在多节点集群中无法工作， 除了测试或开发之外不应该用于任何其他用途。

enableDynamicProvisioning 在支持动态配置的环境中运行时允许制备新卷。默认为 true。

persistentVolumeRecyclerConfiguration 保存持久卷插件的配置。

volumePluginDir 是一个完整路径，FlexVolume 插件在这一目录中搜索额外的第三方卷插件。

kubeconfig 字段是指向一个 KubeConfig 文件的路径。

acceptContentTypes 字段定义客户端在连接到服务器时所发送的 Accept 头部字段。 此设置值会覆盖默认配置 'application/json'。 此字段会控制某特定客户端与指定服务器的所有链接。

contentType 字段是从此客户端向服务器发送数据时使用的内容类型（Content Type）。

qps 字段控制此连接上每秒钟可以发送的查询请求个数。

burst 字段允许客户端超出其速率限制时可以临时累积的额外查询个数。

enableProfiling 字段通过位于 host:port/debug/pprof/ 的 Web 接口启用性能分析。

enableContentionProfiling 字段在 enableProfiling 为 true 时启用阻塞分析。

leaderElect 字段允许领导者选举客户端在进入主循环执行之前先获得领导者角色。 运行多副本组件时启用此功能有助于提高可用性。

leaseDuration 字段是非领导角色候选者在观察到需要领导席位更新时要等待的时间； 只有经过所设置时长才可以尝试去获得一个仍处于领导状态但需要被刷新的席位。 这里的设置值本质上意味着某个领导者在被另一个候选者替换掉之前可以停止运行的最长时长。 只有当启用了领导者选举时此字段有意义。

renewDeadline 字段设置的是当前领导者在停止扮演领导角色之前需要刷新领导状态的时间间隔。 此值必须小于或等于租约期限的长度。只有到启用了领导者选举时此字段才有意义。

retryPeriod 字段是客户端在连续两次尝试获得或者刷新领导状态之间需要等待的时长。 只有当启用了领导者选举时此字段才有意义。

resourceLock 字段给出在领导者选举期间要作为锁来使用的资源对象类型。

resourceName 字段给出在领导者选举期间要作为锁来使用的资源对象名称。

resourceNamespace 字段给出在领导者选举期间要作为锁来使用的资源对象所在名字空间。

featureGates 字段是一个功能特性名称到布尔值的映射表， 用来启用或者禁用测试性质的功能特性。

clientConnection 指定了代理服务器与 apiserver 通信时应使用的 kubeconfig 文件和客户端连接设置。

logging 指定了日志记录的选项。有关更多信息， 请参阅日志选项。

hostnameOverride 如果不为空，将作为 kube-proxy 所运行节点的名称使用。 如果未设置，则默认使用节点的主机名作为节点名称。

bindAddress 可以用来指定 kube-proxy 所认为的节点主 IP。请注意， 虽然名称中有绑定的意思，但实际上 kube-proxy 并不会将任何套接字绑定到这个 IP 地址上。

healthzBindAddress 是健康检查服务器的 IP 地址和端口，默认情况下， 如果 bindAddress 未设置或为 IPv4，则为 "0.0.0.0:10256"；如果 bindAddress 为 IPv6， 则为 "[::]:10256"。

metricsBindAddress 是指标服务器监听的 IP 地址和端口，默认情况下， 如果 bindAddress 未设置或为 IPv4，则为 "127.0.0.1:10249"； 如果 bindAddress 为 IPv6，则为 "[::1]:10249"。 （设置为 "0.0.0.0:10249" / "[::]:10249" 以绑定到所有接口。）。

bindAddressHardFail 字段设置为 true 时， kube-proxy 将无法绑定到某端口这类问题视为致命错误并直接退出。

enableProfiling 字段通过 '/debug/pprof' 处理程序在 Web 界面上启用性能分析。 性能分析处理程序将由指标服务器执行。

showHiddenMetricsForVersion 用于指定要显示隐藏指标的版本。

mode 指定要使用的代理模式。

iptables 字段字段包含与 iptables 相关的配置选项。

ipvs 字段中包含与 ipvs 相关的配置选项。

nftables 包含与 nftables 相关的配置选项。

winkernel 包含与 winkernel 相关的配置选项。

detectLocalMode 确定用于检测本地流量的模式，默认为 ClusterCIDR。

detectLocal 包含与 DetectLocalMode 相关的可选配置设置。

clusterCIDR 指定集群中 Pod 的 CIDR 范围。 （对于双栈集群，这个参数可以是一个用逗号分隔的双栈 CIDR 范围对。） 当 DetectLocalMode 设置为 LocalModeClusterCIDR 时，如果流量的源 IP 在这个范围内， kube-proxy 会将其视为本地流量。（否则不会使用此设置。）

nodePortAddresses 是一个包含有效节点 IP 的 CIDR 范围列表或单个字符串 `primary`。 如果设置为 CIDR 范围列表，只有来自这些范围内的节点 IP 的 NodePort 服务连接才会被接受。 如果设置为 `primary`，则根据 Node 对象，NodePort 服务将仅在节点的主 IPv4 和/或 IPv6 地址上被接受。 如果未设置，将接受所有本地 IP 的 NodePort 连接。

oomScoreAdj 是 kube-proxy 进程的 OOM 评分调整值。该值必须在 [-1000, 1000] 范围内。

conntrack 包含与 conntrack 相关的配置选项。

configSyncPeriod 指定从 apiserver 刷新配置的频率，必须大于 0。

portRange 之前用于配置用户空间代理，但现在已不再使用。

如果为 windowsRunAsService 为 True，则启用 Windows 服务控制管理器 API 集成。

bridgeInterface 指的是桥接接口的名称。 当 DetectLocalMode 设置为 LocalModeBridgeInterface 时， 如果流量来自这个桥接接口，kube-proxy 会将其视为本地流量。

interfaceNamePrefix 是接口名称的前缀。 当 DetectLocalMode 设置为 LocalModeInterfaceNamePrefix 时， 如果流量来自任何名称以该前缀开头的接口，kube-proxy 会将其视为本地流量。

maxPerCore 字段是每个 CPU 核所跟踪的 NAT 链接个数上限 （0 意味着保留当前上限限制并忽略 min 字段设置值）。

min 字段给出要分配的链接跟踪记录个数下限。 设置此值时会忽略 maxPerCore 的值（将 maxPerCore 设置为 0 时不会调整上限值）。

tcpEstablishedTimeout 字段给出空闲 TCP 连接的保留时间（例如，'2s'）。 此值必须大于 0。

tcpCloseWaitTimeout 字段用来设置空闲的、处于 CLOSE_WAIT 状态的 conntrack 条目 保留在 conntrack 表中的时间长度（例如，'60s'）。 此设置值必须大于 0。

tcpBeLiberal 如果设置为 true， kube-proxy 将配置 conntrack 以宽松模式运行， 对于 TCP 连接和超出窗口序列号的报文不会被标记为 INVALID。

udpTimeout 指定处于 UNREPLIED 状态的空闲 UDP conntrack 条目在 conntrack 表中保留的时间 （例如 '30s'）。该值必须大于 0。

udpStreamTimeout 指定处于 ASSURED 状态的空闲 UDP conntrack 条目在 conntrack 表中保留的时间 （例如 '300s'）。该值必须大于 0。

masqueradeBit 字段是 iptables fwmark 空间中的具体一位， 用来在 iptables 或 ipvs 代理模式下设置 SNAT。此值必须介于 [0, 31]（含边界值）。

masqueradeAll 字段用来通知 kube-proxy 在使用 iptables 或 ipvs 代理模式时对所有流量执行 SNAT 操作。这在某些 CNI 插件中可能是必需的。

localhostNodePorts 如果设置为 false， 则会通知 kube-proxy 禁用通过本地主机访问 NodePort 服务的旧有行为。 （仅适用于 iptables 模式和 IPv4；在其他代理模式或 IPv6 下，不允许本地主机访问 NodePort 服务。）

syncPeriod 是时间间隔（例如 '5s'、'1m'、'2h22m'）， 指示各种重新同步和清理操作的执行频率。该值必须大于 0。

minSyncPeriod 是 iptables 规则重新同步的最小时间间隔（例如 '5s'、'1m'、'2h22m'）。 如果值为 0，表示每次服务或 EndpointSlice 发生变化时都会立即重新同步 iptables。

syncPeriod 是各种重新同步和清理操作执行频率的时间间隔（例如 '5s', '1m', '2h22m'）。 该值必须大于 0

minSyncPeriod 是 IPVS 规则重新同步之间的最小时间间隔（例如 '5s', '1m', '2h22m'）。 值为 0 表示每次服务或 EndpointSlice 发生变化时都会立即触发 IPVS 重新同步。

scheduler 是用于 IPVS 的调度器。

excludeCIDRs 字段取值为一个 CIDR 列表，ipvs 代理程序在清理 IPVS 服务时不应触碰这些 IP 地址。

strictARP 字段用来配置 arp_ignore 和 arp_announce，以避免（错误地）响应来自 kube-ipvs0 接口的 ARP 查询请求。

tcpTimeout 字段是用于设置空闲 IPVS TCP 会话的超时值。 默认值为 0，意味着使用系统上当前的超时值设置。

tcpFinTimeout 字段用来设置 IPVS TCP 会话在收到 FIN 之后的超时值。 默认值为 0，意味着使用系统上当前的超时值设置。

udpTimeout 字段用来设置 IPVS UDP 包的超时值。 默认值为 0，意味着使用系统上当前的超时值设置。

masqueradeBit 字段是 iptables fwmark 空间中的具体一位， 用来在 nftables 代理模式下设置 SNAT。此值必须介于 [0, 31]（含边界值）。

masqueradeAll 通知 kube-proxy 在使用 nftables 模式时， 对发送到服务集群 IP 的所有流量执行 SNAT。这在某些 CNI 插件中可能是必需的。

syncPeriod 表示各种重新同步和清理操作执行频率的时间间隔（例如 '5s', '1m', '2h22m'）。 该值必须大于 0。

minSyncPeriod是 iptables 规则重新同步之间的最小时间间隔（例如 '5s', '1m', '2h22m'）。 值为 0 时，表示每次服务或 EndpointSlice 发生变化时都会立即重新同步 iptables。

networkName 字段是 kube-proxy 用来创建端点和策略的网络名称。

sourceVip 字段是执行负载均衡时进行 NAT 转换所使用的源端 VIP 端点 IP 地址。

enableDSR 字段通知 kube-proxy 是否使用 DSR 来创建 HNS 策略。

rootHnsEndpointName 字段是附加到用于根网络命名空间二层桥接的 hnsendpoint 的名称。

forwardHealthCheckVip 字段为 Windows 上的健康检查端口转发服务 VIP。

kubeconfig 字段为指向 KubeConfig 文件的路径。

acceptContentTypes 定义的是客户端与服务器建立连接时要发送的 Accept 头部， 这里的设置值会覆盖默认值 "application/json"。此字段会影响某特定客户端与服务器的所有连接。

contentType 包含的是此客户端向服务器发送数据时使用的内容类型（Content Type）。

qps 控制此连接允许的每秒查询次数。

burst 允许在客户端超出其速率限制时可以累积的额外查询个数。

enableProfiling 字段允许通过 Web 接口 host:port/debug/pprof/ 执行性能分析。

enableContentionProfiling 字段在 enableProfiling 为 true 时启用阻塞分析。

leaderElect 允许领导者选举客户端在进入主循环执行之前先获得领导者角色。 运行多副本组件时启用此功能有助于提高可用性。

leaseDuration 是非领导角色候选者在观察到需要领导席位更新时要等待的时间； 只有经过所设置时长才可以尝试去获得一个仍处于领导状态但需要被刷新的席位。 这里的设置值本质上意味着某个领导者在被另一个候选者替换掉之前可以停止运行的最长时长。 只有当启用了领导者选举时此字段有意义。

renewDeadline 设置的是当前领导者在停止扮演领导角色之前需要刷新领导状态的时间间隔。 此值必须小于或等于租约期限的长度。只有到启用了领导者选举时此字段才有意义。

retryPeriod 是客户端在连续两次尝试获得或者刷新领导状态之间需要等待的时长。 只有当启用了领导者选举时此字段才有意义。

resourceLock 字段给出在领导者选举期间要作为锁来使用的资源对象类型。

resourceName 字段给出在领导者选举期间要作为锁来使用的资源对象名称。

resourceNamespace 字段给出在领导者选举期间要作为锁来使用的资源对象所在名字空间。

minCandidateNodesPercentage 字段为试运行抢占时 shortlist 中候选节点数的下限， 数值为节点数的百分比。字段值必须介于 [0, 100] 之间。未指定时默认值为整个集群规模的 10%。

minCandidateNodesAbsolute 字段设置 shortlist 中候选节点的绝对下限。 用于试运行抢占而列举的候选节点个数近似于通过下面的公式计算的：
候选节点数 = max(节点数 * minCandidateNodesPercentage, minCandidateNodesAbsolute)
之所以说是"近似于"是因为存在一些类似于 PDB 违例这种因素， 会影响到进入 shortlist 中候选节点的个数。 取值至少为 0 节点。若未设置默认为 100 节点。

hardPodAffinityWeight 字段是一个计分权重值。针对新增的 Pod，要对现存的、 带有与新 Pod 匹配的硬性亲和性设置的 Pods 计算亲和性得分。

ignorePreferredTermsOfExistingPods 配置调度器在为候选节点评分时忽略现有 Pod 的优选亲和性规则， 除非传入的 Pod 具有 Pod 间的亲和性。

parallelism 字段设置为调度 Pod 而执行算法时的并发度。此值必须大于 0。默认值为 16。

LeaderElection 字段用来定义领导者选举客户端的配置。

clientConnection 字段为与 API 服务器通信时使用的代理服务器设置 kubeconfig 文件和客户端连接配置。

DebuggingConfiguration 字段设置与调试相关功能特性的配置。 TODO：我们可能想把它做成一个子结构，像调试 component-base/config/v1alpha1.DebuggingConfiguration 一样。

percentageOfNodesToScore 字段为所有节点的百分比，一旦调度器找到所设置比例的、能够运行 Pod 的节点， 则停止在集群中继续寻找更合适的节点。这一配置有助于提高调度器的性能。 调度器总会尝试寻找至少 "minFeasibleNodesToFind" 个可行节点，无论此字段的取值如何。 例如：当集群规模为 500 个节点，而此字段的取值为 30， 则调度器在找到 150 个合适的节点后会停止继续寻找合适的节点。当此值为 0 时， 调度器会使用默认节点数百分比（基于集群规模确定的值，在 5% 到 50% 之间）来执行打分操作。 它可被配置文件级别的 PercentageOfNodesToScore 覆盖。

podInitialBackoffSeconds 字段设置不可调度 Pod 的初始回退秒数。 如果设置了此字段，其取值必须大于零。若此值为 null，则使用默认值（1s）。

podMaxBackoffSeconds 字段设置不可调度的 Pod 的最大回退秒数。 如果设置了此字段，则其值必须大于 podInitialBackoffSeconds 字段值。 如果此值设置为 null，则使用默认值（10s）。

profiles 字段为 kube-scheduler 所支持的方案（profiles）。 Pod 可以通过设置其对应的调度器名称来选择使用特定的方案。 未指定调度器名称的 Pod 会使用 "default-scheduler" 方案来调度，如果存在的话。

extenders 字段为调度器扩展模块（Extender）的列表，每个元素包含如何与某扩展模块通信的配置信息。 所有调度器方案会共享此扩展模块列表。

DelayCacheUntilActive 指定何时开始缓存。如果字段设置为 true 并且启用了领导者选举， 则调度程序将等待填充通知者缓存，直到它成为领导者，这样做会减慢故障转移速度， 并在等待成为领导者时降低内存开销。 默认为 false。

addedAffinity 会作为附加的亲和性属性添加到所有 Pod 的规约中指定的 NodeAffinity 中。 换言之，节点需要同时满足 addedAffinity 和 .spec.nodeAffinity。 默认情况下，addedAffinity 为空（与所有节点匹配）。使用了 addedAffinity 时， 某些带有已经能够与某特定节点匹配的亲和性需求的 Pod （例如 DaemonSet Pod）可能会继续呈现不可调度状态。

要管理的资源；如果未设置，则默认值为 "cpu" 和 "memory"。

ignoredResources 字段为 NodeResources 匹配过滤器要忽略的资源列表。此列表不影响节点打分。

ignoredResourceGroups 字段定义 NodeResources 匹配过滤器要忽略的资源组列表。 例如，如果配置值为 ["example.com"]， 则以 "example.com" 开头的资源名 （如"example.com/aaa" 和 "example.com/bbb"）都会被忽略。 资源组名称中不可以包含 '/'。此设置不影响节点的打分。

scoringStrategy 用来选择节点资源打分策略。默认的策略为 LeastAllocated， 且 "cpu" 和 "memory" 的权重相同。

defaultConstraints 字段针对未定义 .spec.topologySpreadConstraints 的 Pod， 为其提供拓扑分布约束。.defaultConstraints[∗].labelSelectors必须为空， 因为这一信息要从 Pod 所属的 Service、ReplicationController、ReplicaSet 或 StatefulSet 来推导。 此字段不为空时，.defaultingType 必须为 "List"。

defaultingType 决定如何推导 .defaultConstraints。 可选值为 "System" 或 "List"。

• "System"：使用 Kubernetes 定义的约束，将 Pod 分布到不同节点和可用区；
• "List"：使用 .defaultConstraints 中定义的约束。

默认值为 "System"。

bindTimeoutSeconds 字段设置卷绑定操作的超时秒数。字段值必须是非负数。 取值为 0 意味着不等待。如果此值为 null，则使用默认值（600）。

shape 用来设置打分函数曲线所使用的计分点， 这些计分点用来基于静态制备的 PV 卷的利用率为节点打分。 卷的利用率是计算得来的， 将 Pod 所请求的总的存储空间大小除以每个节点上可用的总的卷容量。 每个计分点包含利用率（范围从 0 到 100）和其对应的得分（范围从 0 到 10）。 你可以通过为不同的使用率值设置不同的得分来反转优先级：

默认的曲线计分点为：

1. 利用率为 0 时得分为 0；
2. 利用率为 100 时得分为 10。

所有计分点必须按利用率值的升序来排序。

用来访问扩展模块的 URL 前缀。

filter 调用所使用的动词，如果不支持过滤操作则为空。 此动词会在向扩展模块发送 filter 调用时追加到 urlPrefix 后面。

preempt 调用所使用的动词，如果不支持 preempt 操作则为空。 此动词会在向扩展模块发送 preempt 调用时追加到 urlPrefix 后面。

prioritize 调用所使用的动词，如果不支持 prioritize 操作则为空。 此动词会在向扩展模块发送 prioritize 调用时追加到 urlPrefix 后面。

针对 prioritize 调用所生成的节点分数要使用的数值系数。 weight 值必须是正整数。

bind 调用所使用的动词，如果不支持 bind 操作则为空。 此动词会在向扩展模块发送 bind 调用时追加到 urlPrefix 后面。 如果扩展模块实现了此方法，扩展模块要负责将 Pod 绑定到 API 服务器。 只有一个扩展模块可以实现此函数。

enableHTTPS 字段设置是否需要使用 HTTPS 来与扩展模块通信。

tlsConfig 字段设置传输层安全性（TLS）配置。

httpTimeout 给出扩展模块功能调用的超时值。filter 操作超时会导致 Pod 无法被调度。 prioritize 操作超时会被忽略， Kubernetes 或者其他扩展模块所给出的优先级值会被用来选择节点。

nodeCacheCapable 指示扩展模块可以缓存节点信息，从而调度器应该发送关于可选节点的最少信息， 假定扩展模块已经缓存了集群中所有节点的全部详细信息。

managedResources 是一个由此扩展模块所管理的扩展资源的列表。

• 如果某 Pod 请求了此列表中的至少一个扩展资源，则 Pod 会在 filter、 prioritize 和 bind （如果扩展模块可以执行绑定操作）阶段被发送到该扩展模块。
• 如果某资源上设置了 ignoredByScheduler 为 true，则 kube-scheduler 会在断言阶段略过对该资源的检查。

ignorable 用来设置扩展模块是否是可忽略的。 换言之，当扩展模块返回错误或者完全不可达时，调度操作不应失败。

扩展资源的名称。

ignoredByScheduler 标明 kube-scheduler 是否应在应用断言时忽略此资源。

访问服务器时不需要检查 TLS 证书。此配置仅针对测试用途。

serverName 会被发送到服务器端，作为 SNI 标志； 客户端会使用此设置来检查服务器证书。 如果 serverName 为空，则会使用联系服务器时所用的主机名。

服务器端所要求的 TLS 客户端证书认证。

服务器端所要求的 TLS 客户端秘钥认证。

服务器端被信任的根证书。

certData 包含 PEM 编码的字节流（通常从某客户端证书文件读入）。 此字段优先级高于 certFile 字段。

keyData 包含 PEM 编码的字节流（通常从某客户端证书秘钥文件读入）。 此字段优先级高于 keyFile 字段。

caData 包含 PEM 编码的字节流（通常从某根证书包文件读入）。 此字段优先级高于 caFile 字段。

schedulerName 是与此调度方案相关联的调度器的名称。 如果 schedulerName 与 Pod 的 spec.schedulerName 匹配， 则该 Pod 会使用此方案来调度。

percentageOfNodesToScore 是已发现可运行 Pod 的节点与所有节点的百分比， 调度器所发现的可行节点到达此阈值时，将停止在集群中继续搜索可行节点。 这有助于提高调度器的性能。无论此标志的值是多少，调度器总是尝试至少找到 “minFeasibleNodesToFind” 个可行的节点。 例如：如果集群大小为 500 个节点并且此标志的值为 30，则调度器在找到 150 个可行节点后将停止寻找更多可行的节点。 当值为 0 时，默认百分比（根据集群大小为 5% - 50%）的节点将被评分。此设置值将覆盖全局的 PercentageOfNodesToScore 值。 如果为空，将使用全局 PercentageOfNodesToScore。

plugins 设置一组应该被启用或禁止的插件。 被启用的插件是指除了默认插件之外需要被启用的插件。 被禁止的插件是指需要被禁用的默认插件。

如果针对某个扩展点没有设置被启用或被禁止的插件， 则使用该扩展点的默认插件（如果有的话）。如果设置了 QueueSort 插件， 则同一个 QueueSort 插件和 pluginConfig 要被设置到所有调度方案之上。

pluginConfig 是为每个插件提供的一组可选的定制插件参数。 如果忽略了插件的配置参数，则意味着使用该插件的默认配置。

插件的名称。

插件的权重；仅适用于评分（Score）插件。

name 是所配置的插件的名称。

args 定义在初始化阶段要传递给插件的参数。参数可以为任意结构。

enabled 设置在默认插件之外要启用的插件。 如果在调度器的配置文件中也配置了默认插件，则对应插件的权重会被覆盖。 此处所设置的插件会在默认插件之后被调用，调用顺序与数组中元素顺序相同。

disabled 设置要被禁用的默认插件。 如果需要禁用所有的默认插件，应该提供仅包含一个元素 "∗" 的数组。

preEnqueue 是在将 Pod 添加到调度队列之前应调用的插件的列表。

queueSort 是一个在对调度队列中 Pod 排序时要调用的插件列表。