OPA Gatekeeper.

OPA Gatekeeper 是 CNCF 的策略控制器,基于 Open Policy Agent 与 Rego 语言,在 Kubernetes 上执行准入与审计策略。 它属于网络安全的 云安全 分类。

OPA Gatekeeper 是 CNCF 的策略控制器,基于 Open Policy Agent 与 Rego 语言,在 Kubernetes 上执行准入与审计策略。

Gatekeeper 是 OPA 的 Kubernetes 原生封装。运维人员安装包含 Rego 策略的 ConstraintTemplate,并定义类型化的 Constraint CRD,其实例即为真正的策略实体(如 K8sRequiredLabels)。Gatekeeper 作为 validating 与 mutating 准入 webhook 运行,同时也会针对已有集群状态进行审计。策略与受保护资源的 schema 解耦,可以约束 Pod、Ingress、自定义资源以及云托管对象。Gatekeeper 与 OPA 生态(Conftest、Styra、Terraform)集成,既可在 CI 中实现 shift-left 检查,也可在集群中执行强约束。

针对 OPA Gatekeeper 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: Gatekeeper, OPA。