В каком порядке выполняются admission webhook'и и почему именно так?

Сначала выполняются мутации объекта, затем его валидация. Валидаторы проверяют уже изменённый объект; полагаться на единственный фиксированный порядок мутаций нельзя.

Mutating admission webhooks могут изменять объект и последовательно влиять на последующие проверки. Validating webhooks не меняют его и проверяют итог после стадии мутаций. При reinvocationPolicy=IfNeeded мутирующий webhook может вызываться повторно, причём точное число повторов не гарантируется. Поэтому мутации должны быть идемпотентными, а проверку окончательного состояния следует помещать в validating webhook.

Источник: kubernetes.io.