OPA Gatekeeper
Motor de políticas que fica na cadeia de admissão do Kubernetes e rejeita recursos que violam as regras, antes mesmo de serem criados.
As regras são escritas na linguagem Rego e divididas em duas partes: um ConstraintTemplate, que guarda a lógica — por exemplo, "todo pod precisa ter determinado label" —, e um Constraint, que declara onde a regra se aplica e com quais parâmetros. Essa divisão permite escrever a política uma vez e reutilizá-la com configurações diferentes por namespace. Além de bloquear novos recursos, o Gatekeeper pode rodar em modo de auditoria e relatar quais objetos existentes já violam as regras, que é como se introduz política num cluster que já está em produção. O Rego é poderoso, mas tem uma curva de aprendizado real, e esse é o principal motivo de muitas equipes escolherem o Kyverno.