| 模型 | ConstraintTemplate（Rego 模板）+ Constraint（实例与匹配范围） |
|---|---|
| 模式 | enforcementAction：deny / dryrun / warn |
| 审计 | 存量资源审计（audit）周期性扫描并给出违规清单 |
Constraint 示例
Constraint 示例
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sRequiredLabels
metadata:
name: require-team-label
spec:
enforcementAction: dryrun
match:
kinds:
- apiGroups: ["apps"]
kinds: ["Deployment"]上线策略先 dryrun 收集违规面：批量存量问题直接 deny 会把发布流程卡死。