3 основных нововведения:1)
Mutation возможность перешла в статус Beta
2) Gator CLI в alpha для тестирования constraint templates и constraints без Kubernetes
3) External Data для валидации в статусе alpha
Если первые два нововведения уже давно есть в Kyverno, то вот третье выглядит очень перспективно по сравнению с тем, что сейчас позволяет Kyverno: в качестве внешних источников данных только ConfigMaps и Kubernetes API Server. А эта же фича в Gatekeeper позволяет задать любой URL!В качестве примера посмотрите статью "Verifying container signatures on Kubernetes with Gatekeeper" и код cosign-gatekeeper-provider, где это используется, а также показывается связка с
cosign. По сути, такое же было в моем посте про Kyverno и cosign.Также в статье упоминается Cosigned Admission Webhook от самого
sigstore, так что можно просто реализовать проверку подписи образов без использования этих Policy Engines.Потом думаю таким же способом через
External Data реализуют и проверку SBOM для образов для повышения безопасности supply chain.Для тех, кто хочет посмотреть, что там с
Mutation ресурсов, то есть статья "Mutating Kubernetes resources with Gatekeeper".Очень классные нововведения ждем, когда они доберутся до
GA, а так если будете их использовать, то не забывайте их отдельно включать и что они пока не рекомендуются для использования в production.