| 载体 | OPA/Rego、Kyverno YAML、conftest（本地测试） |
|---|---|
| 执行点 | CI 检查（快速反馈）与集群准入（强制兜底）双层 |
| 治理 | 策略与豁免都有评审与到期时间 |
conftest 本地验证
conftest 本地验证
conftest test deploy.yaml -p policy/策略报错要可行动：指出违反的规则、字段与修复方式。
策略即代码（Policy as Code）
把组织规则写成可测试、可版本化的策略：镜像来源、资源上限、必填标签、禁止特权容器——自动在流水线与准入层执行。
易错点
- 策略只挂集群不挂 CI：反馈太晚，两级都要有但职责不同
- 豁免无期限：临时豁免变永久豁免，设到期复查
数据来源与参考
- Open Policy Agent 文档
- CNCF 策略即代码实践