Что такое Open Policy Agent (OPA) и язык Rego? Покажи пример политики для ABAC (multi-tenant с атрибутами user.role, resource.owner_id, action), как deploy в k8s (sidecar vs library), и какой latency overhead.