OPA Gatekeeper
Kubernetesのアドミッションチェーンに入り込み、ルールに反するリソースを作成される前に拒否するポリシーエンジン。
ルールはRego言語で書き、2つに分けて管理する。ロジックを持つConstraintTemplate（例：「すべてのPodは特定のラベルを持つこと」）と、適用範囲とパラメータを宣言するConstraintだ。この分離により、ポリシーを一度書けば、名前空間ごとに異なる設定で使い回せる。新規リソースの拒否だけでなく、監査モードで既存オブジェクトのうち違反しているものを洗い出すこともでき、すでに本番稼働中のクラスタにポリシーを導入する際の定石になっている。Regoは強力だが学習コストが高く、多くのチームが代わりにKyvernoを選ぶ主な理由もそこにある。