Open Policy Agent (OPA) è un motore di policy che valuta regole e restituisce decisioni di autorizzazione o negazione nei sistemi cloud-native. I team scrivono policy come codice, comunemente nel linguaggio Rego, e usano OPA per verificare richieste, configurazioni o input di runtime rispetto ai requisiti di sicurezza. In Kubernetes, OPA può inserirsi nel percorso di admission per bloccare deployment rischiosi, come pod con privilegi elevati, impostazioni di immagine non sicure o etichette e controlli mancanti.
OPA è importante perché la policy di sicurezza è spesso distribuita tra cluster, API e servizi. Centralizzare queste regole aiuta i difensori ad applicare in modo coerente il principio del privilegio minimo, la conformità e i guardrail della piattaforma. Negli ambienti reali, OPA viene usato sia per prevenire configurazioni errate prima che raggiungano la produzione, sia per convalidare le decisioni di accesso nei microservizi. Gli attaccanti possono cercare di aggirare controlli di policy deboli abusando di autorizzazioni troppo ampie o di configurazioni malformate, quindi una solida applicazione delle policy diventa un controllo pratico, non solo una funzione di conformità.