Представим
Kubernetes кластер, в котором все ресурсы попадают только через репозиторий, никакие сотрудники компании на прямую в k8s ничего деплоить не могут. При этом как вы, наверное, знаете популярные
PolicyEngine в виде Kyverno и OPA Gatekeeper в CLI режиме (в принципе можно и другими тулами тоже) можно встроить в pipeline и прям там все несоответствующее политикам браковать/блокировать, тоесть не допускать не то что до k8s, но и вообще до репозитория.И тут возникает вопрос: если мы так все здорово можем сделать в духе
Shift Left Security, то зачем вообще нужен в такой системе PolicyEngine в виде Admission Controller ?!Пишите ваши варианты в комментариях, а мы отметить правильный вариант в Пн, а если его вдруг не будет (но в такое не вериться - тут собралось много крутых ребята), то напишем его также в Пн.
P.S. Чтобы чуть-чуть усложнить задачу также уберем сценарий с наличием какого-то mutating admission webhook.
P.S.S. Тот, кто знает ответ с моего тренинга просьба не учувствовать ;)