OPA Gatekeeper
Moteur de politiques inséré dans la chaîne d'admission de Kubernetes, qui rejette les ressources enfreignant les règles avant même qu'elles ne soient créées.
Les règles s'écrivent en langage Rego et se répartissent en deux : un ConstraintTemplate qui contient la logique — par exemple « chaque pod doit porter tel label » — et un Constraint qui déclare où la règle s'applique et avec quels paramètres. Cette séparation permet d'écrire une politique une seule fois et de la réutiliser avec des réglages différents selon le namespace. Outre le blocage des nouvelles ressources, Gatekeeper peut fonctionner en mode audit et signaler quels objets existants enfreignent déjà les règles, ce qui est la façon d'introduire des politiques dans un cluster déjà en production. Rego est puissant mais présente une vraie courbe d'apprentissage, et c'est principalement pour cela que beaucoup d'équipes choisissent plutôt Kyverno.