Admission controller — компонент, который перехватывает запросы к Kubernetes API после аутентификации, но до сохранения объекта и может изменить (mutating) или отклонить (validating) объект. OPA Gatekeeper и Kyverno — policy-движки поверх этого механизма. Pod Security Standards (PSS) — встроенные профили безопасности Pod: privileged, baseline, restricted.