Kubernetes の v1.36 で導入されたマニフェストベースの Admission Control は、クラスターブートストラップ中のセキュリティポリシー施行のギャップに対処します。既存の API ベースの Admission Control には脆弱性があります。ポリシーは API オブジェクトであり、削除される可能性があるため、セキュリティ上のウィンドウが生じます。この新機能により、Admission Webhook と CEL ベースのポリシーを、API サーバーが起動時にロードするファイルとして定義できます。これにより、リクエストが処理される前にポリシーがアクティブになり、不正な変更から保護されます。これは、AdmissionConfiguration ファイルの staticManifestsDir フィールドを使用して、ポリシー YAML ファイルを含むディレクトリを指定します。これらのファイルは、API ベースの設定と区別するために、.static.k8s.io で終わる名前を持つ必要があります。この機能は、Admission 設定自体を削除や変更から保護できます。マニフェストファイルへの変更は、実行時に自動的に更新されます。API サーバーは、起動中に厳密な検証を施行し、実行時の更新をアトミックに処理します。これを実装するには、ManifestBasedAdmissionControlConfig フィーチャーゲートを有効にする必要があります。