OPA Gatekeeper
Motore di policy che si inserisce nella catena di admission di Kubernetes e respinge le risorse che violano le regole, prima ancora che vengano create.
Le regole si scrivono in linguaggio Rego e si dividono in due parti: un ConstraintTemplate con la logica (per esempio «ogni pod deve avere una certa etichetta») e un Constraint che dichiara dove si applica la regola e con quali parametri. Grazie a questa separazione una policy si scrive una volta e si riusa con impostazioni diverse per ogni namespace. Oltre a bloccare le nuove risorse, Gatekeeper può funzionare in modalità audit e segnalare quali oggetti esistenti violano già le regole: è il modo per introdurre le policy in un cluster già in produzione. Rego è potente ma ha una curva di apprendimento reale, ed è soprattutto per questo che molti team scelgono Kyverno.