当validating admission webhook故障导致api写入阻塞时，应立即通过kubectl patch将failurepolicy设为ignore（首选）或删除webhook配置来恢复；集群管理员可执行，普通用户无权操作。
当Kubernetes集群中某个Validating Admission Webhook服务宕机或响应超时，导致所有Pod、Ingress等资源创建被阻塞（如报错failed calling webhook或context deadline exceeded），必须立刻恢复API写入能力，否则CI/CD流水线、运维操作、自动扩缩容全部中断。
确认Webhook故障是否真实影响写入
执行kubectl apply -f test-pod.yaml并观察错误输出。若返回Error from server (InternalError): error when creating ... failed calling webhook "xxx"，说明该Webhook已进入强制拦截路径，且API Server未配置降级策略。
运行kubectl get validatingwebhookconfigurations,mutatingwebhookconfigurations，记录下出问题的Webhook名称（如ingress-nginx-admission或gatekeeper-validating-webhook-configuration）。
【关键前提】只有集群管理员（拥有cluster-admin权限）才能执行后续绕过操作，普通命名空间用户无权修改Admission配置。
临时禁用故障Webhook（推荐首选）
方法一：直接patch ValidatingWebhookConfiguration对象，关闭failurePolicy
执行：kubectl patch validatingwebhookconfiguration/<em>WEBHOOK-NAME</em> --type='json' -p='[{"op": "replace", "path": "/webhooks/0/failurePolicy", "value":"Ignore"}]'
这会将失败策略从Fail改为Ignore，使API Server在调用失败时不阻断请求，而是记录警告后继续处理。该操作秒级生效，无需重启任何组件。
方法二：彻底移除Webhook注册（更激进）
执行：kubectl delete validatingwebhookconfiguration/<em>WEBHOOK-NAME</em> 或 kubectl delete mutatingwebhookconfiguration/<em>WEBHOOK-NAME</em>
注意：删除后，所有依赖该Webhook的策略（如OPA Gatekeeper约束、自定义校验逻辑）将立即失效，仅限紧急恢复使用。
通过API Server启动参数临时全局关闭准入链
第一步：登录主控节点（master/control plane node）
第二步：编辑kube-apiserver静态Pod清单
路径通常为/etc/kubernetes/manifests/kube-apiserver.yaml，找到command字段
第三步：在参数列表中移除或注释掉--admission-control-config-file和所有--enable-admission-plugins=*中包含ValidatingAdmissionWebhook或MutatingAdmissionWebhook的项
第四步：保存文件，kubelet会自动重启kube-apiserver容器。重启完成后，所有Webhook调用被跳过
【不可逆风险】此操作将全局禁用所有Webhook（包括健康检查类、安全加固类），且需重启API Server，可能造成短暂API不可用；仅限单控制平面或已启用高可用但可接受分钟级抖动的场景。
