OPA Gatekeeper на Kyverno – вот отличная заметка о том, как это сделать.Схема довольно простая: ставим в кластер
Kyverno (OPA уже был), раскатываем соответствующие политики Kyverno в audit режиме, смотрим на то как они себя ведут, если всё ок – переводим политики Kyverno в enforce режим, а OPA политики сносим.Но не стоит забывать о существовании
Mutation policy, ведь там всё может быть немного сложнее. Дело в том, что две работающие Mutation политики от разных Policy Engine могут привести к перезаписи объектов. Для таких случаев, и вообще любых других случаев, где вы сомневаетесь в том как работает политика есть команда kyverno test (почитать про неё можно здесь).Также авторы прикладывают таблицу смапленных политик
Kyverno и OPA Gatekeeper.