Higress从1.4.2升级到2.0.0-rc.1版本时的Webhook验证问题解决方案

问题背景

在将Higress从1.4.2版本升级到2.0.0-rc.1版本的过程中，用户可能会遇到higress-controller持续报错的问题。错误信息显示控制器无法将验证切换到fail-closed模式，具体表现为"dummy invalid rejected for the wrong reason"错误，并指出服务账号没有权限创建gateways资源。

错误现象

升级后，higress-controller会持续输出以下错误日志：

validationController Not ready to switch validation to fail-closed: dummy invalid rejected for the wrong reason: gateways.networking.istio.io is forbidden: User "system:serviceaccount:higress-test:higress-controller" cannot create resource "gateways" in API group "networking.istio.io" in the namespace "higress-test"

问题分析

这个问题通常发生在集群中同时存在Higress和Istio的情况下。错误的核心原因是：

1. Higress 2.0.0-rc.1版本默认会尝试接管Istio的验证Webhook配置
2. 当集群中已存在Istio的验证Webhook（如istio-validator-istio-system）时，Higress控制器会尝试修改这些配置
3. 由于权限限制，Higress的服务账号无法修改这些Istio资源，导致验证失败循环

解决方案

要解决这个问题，可以通过以下步骤配置Higress控制器，使其不尝试接管现有的Istio验证Webhook：

1. 编辑higress-controller的Deployment配置：

kubectl edit deploy higress-controller -n higress-test

2. 在pilot-discovery容器中添加以下环境变量：

env:
- name: VALIDATION_WEBHOOK_CONFIG_NAME
  value: ""

这个配置的作用是明确告诉Higress控制器不要尝试管理任何现有的验证Webhook配置，从而避免与Istio的Webhook验证系统产生冲突。

技术原理

在Kubernetes中，ValidatingWebhookConfiguration是一种用于在资源创建/更新时进行验证的机制。Higress 2.0版本增强了这方面的功能，但在混合环境中需要特别注意：

1. VALIDATION_WEBHOOK_CONFIG_NAME环境变量控制着Higress控制器管理的Webhook配置名称
2. 设置为空字符串表示禁用Higress对现有Webhook配置的管理
3. 这样Higress会专注于自己的功能，而不会干扰Istio的验证机制

最佳实践

对于同时使用Higress和Istio的环境，建议：

1. 明确划分Higress和Istio的管理边界
2. 在升级前检查集群中现有的Webhook配置
3. 根据实际需求决定是否让Higress接管验证功能
4. 如果不需要Higress的验证功能，采用上述方案是最稳妥的选择

总结

Higress 2.0版本带来了许多新特性和改进，但在复杂环境中升级时需要特别注意兼容性问题。通过合理配置VALIDATION_WEBHOOK_CONFIG_NAME环境变量，可以平滑解决与现有Istio验证系统的冲突问题，确保升级过程顺利完成。