Admission Controllers и Open Policy Agent (OPA)


Admission Controllers — плагины, перехватывающие запросы к API-серверу до создания объекта в кластере. Могут изменять или блокировать запросы.

Open Policy Agent (OPA) и его реализация Gatekeeper позволяют писать сложные политики на языке Rego.

Примеры политик:


 • Запрет на использование образа с тегом latest
 • Запрет на запуск привилегированных контейнеров
 • Требование запуска от непривилегированного пользователя


Режимы работы политик:


 • Валидация — блокировка небезопасных объектов
 • Мутация — автоматическое исправление манифестов
 • Аудит — выявление существующих ресурсов, не соответствующих политикам


Это критично для постепенного ужесточения правил в работающем кластере.

Внедряйте политики безопасности с Riqli