Gatekeeper
Controlador de admissão do Kubernetes baseado em OPA, que bloqueia ou modifica recursos que violam políticas escritas em Rego.
Você define um ConstraintTemplate (código Rego) e um Constraint (parâmetros). Políticas comuns: "todas as imagens devem vir do nosso registry", "nada de contêineres privilegiados", "todo namespace precisa ter cotas de recursos". Roda como ValidatingAdmissionWebhook e MutatingAdmissionWebhook.
Concorrente: Kyverno (políticas em YAML, curva de aprendizado menor). O Gatekeeper leva a melhor quando as políticas já estão em Rego ou quando a biblioteca de políticas é compartilhada com sistemas fora do K8s.