Cada pod se admite o se rechaza en la puerta, con motivo.

Attestkeep registra un validating admission webhook. Cuando el API server pregunta por un pod, el webhook lee el veredicto de la image en una caché indexada por digest y aplica su policy. Por eso nunca espera a un escaneo, y un registry lento nunca retrasa un despliegue.

Un digest que nunca ha visto es Unknown, nunca Compliant. La failure policy por defecto es Ignore, así que los despliegues siguen adelante si el operator no está disponible; cualquier instalación, Community incluida, puede poner Fail y rechazar hasta que haya escaneo.