OPA Gatekeeper
Silnik polityk wpięty w łańcuch admission Kubernetesa, który odrzuca zasoby łamiące reguły, zanim w ogóle powstaną.
Reguły pisze się w języku Rego i dzieli na dwie części: ConstraintTemplate z logiką — na przykład „każdy pod musi mieć daną etykietę” — oraz Constraint, który określa, gdzie reguła obowiązuje i z jakimi parametrami. Dzięki temu politykę można napisać raz i używać z innymi ustawieniami w każdej przestrzeni nazw. Oprócz blokowania nowych zasobów Gatekeeper potrafi działać w trybie audytu i raportować, które istniejące obiekty już naruszają reguły — tak wprowadza się politykę do klastra już działającego produkcyjnie. Rego jest potężne, ale ma realny próg wejścia, i to głównie dlatego wiele zespołów wybiera zamiast niego Kyverno.