OPA Gatekeeper
Policy-Engine, die in der Kubernetes-Admission-Kette sitzt und Ressourcen ablehnt, die gegen die Regeln verstoßen, noch bevor sie erstellt werden.
Die Regeln werden in der Sprache Rego geschrieben und in zwei Teile aufgeteilt: ein ConstraintTemplate, das die eigentliche Logik enthält – etwa „jeder Pod muss ein bestimmtes Label tragen" – und ein Constraint, das festlegt, wo die Regel gilt und mit welchen Parametern. Diese Aufteilung erlaubt es, eine Policy einmal zu schreiben und mit unterschiedlichen Einstellungen pro Namespace wiederzuverwenden. Neben dem Blockieren neuer Ressourcen kann Gatekeeper auch im Audit-Modus laufen und melden, welche bestehenden Objekte die Regeln bereits verletzen – so führt man Policies in einem Cluster ein, der schon in Betrieb ist. Rego ist mächtig, hat aber eine echte Lernkurve, und genau deshalb greifen viele Teams stattdessen zu Kyverno.