用途：在 Kubernetes 集群与 CI/CD 流水线中以策略即代码方式强制执行组织安全策略，实现可版本控制、可测试、可审计的准入控制，阻止不合规资源创建，并统一多集群安全规则。不适用于漏洞扫描（用 Trivy/Checkov）、运行时威胁检测（用 Falco）或网络策略（用 Kubernetes NetworkPolicy/Calico）。
主要能力：使用 Rego 声明式语言编写策略；通过 Gatekeeper 的 ConstraintTemplate 定义策略逻辑与参数模式，再用 Constraint 指定作用范围与 enforcementAction（warn/deny）；用 conftest 对 YAML、JSON、HCL、Dockerfile 等结构化数据做本地策略测试；在 CI/CD 中集成策略校验。
使用方式：先安装 Gatekeeper，命令为 helm repo add gatekeeper https://open-policy-agent.github.io/gatekeeper/charts 与 helm install gatekeeper gatekeeper/gatekeeper --namespace gatekeeper-system --create-namespace --set replicas=3 --set audit.replicas=1 --set audit.writeToRAMDisk=true。随后创建 ConstraintTemplate（如 k8srequiredlabels、k8scontainerlimits、k8sblockprivileged），再应用 Constraint 并设置 match 与 excludedNamespaces。本地测试可安装 conftest（brew install conftest），执行 conftest test deployment.yaml --policy policies/ --output json，Terraform 加 --parser hcl2。CI 中可用 GitHub Actions 安装 conftest 并运行测试。
适用场景：多团队共享集群的容器安全标准、强制资源限制与标签、禁止特权容器与 :latest 标签等。
限制与注意：直接以 deny 模式部署可能破坏现有工作负载，建议先用 warn 模式并留出整改期；需为 kube-system 等系统命名空间设置豁免。替代方案包括 Kyverno（YAML 策略）与商业平台 Styra DAS。具体版本、价格与效果资料未提供。