Amazon опубликовала серию постов "Policy-based countermeasures for Kubernetes" [1,2].По сути, это свежий (от 31 марта 2021) обзор и сравнение
policy engines, который поможет вам выбрать наиболее подходящий для вашей компании. Среди рассматриваемых кандидатов:- OPA
- Gatekeeper
- MagTape
- Kyverno
- k-rail
К сожалению, на момент публикации Kubewarden еще не был выпущен, и он тут не рассматривается.
Все решения описываются по следующим пунктам:
1) Создание политик
2) Реакция на недоступность
webhook (fail open vs. fail closed)3) Возможность фонового сканирования
4) Расширяемость кода и данных
5) Архитектура и развитие используемых политик
6) Возможность работы вне
Kubernetes кластера (встраивание в CI\CD)Материал просто
MUST READ, а policy engine уже должен быть неотъемлемой частью вашего Kubernetes кластера!