Политики безопасности как код: от Rego и Conftest в CI до admission-контроля Kyverno в Kubernetes-кластере. Вы научитесь превращать требования безопасности («никаких :latest, обязательные resource limits, никаких privileged-контейнеров») в исполняемый код с git-версионированием, PR-ревью и тестами, строить гейты для Terraform-планов и K8s-манифестов, проверять подписи образов (cosign) в момент деплоя и внедрять полный контур «PR - CI-гейт - admission - алерты» без войны с разработчиками.
Почему человеческие ревью не масштабируются на сотни развёртываний в день, что такое policy as code и как устроен ландшафт 2026 года — OPA/Rego, Kyverno и Conftest.
Rego на практике: deny-правила и структура input, проверка Terraform PLAN (не только .tf), Dockerfile и K8s-манифестов, unit-тесты самих политик через conftest verify и красно-зелёные fixture'ы в пайплайне.
Kyverno в кластере: ValidatingPolicy и CEL-выражения, mutate-политики, verifyImages с подписью cosign, audit против enforce, тест политик через kyverno apply — на примере кластера, где каждый стенд это отдельный Pod.
Собираем всё вместе: PR с Terraform-планом, conftest-гейт в CI, Kyverno admission на кластере, verifyImages и violation-алерты; метрики принятия политик и анти-паттерны, из-за которых политики ненавидят.