Open Policy Agent通用策略引擎

Open Policy Agent（開放政策代理，OPA）是一個開源的、通用的策略引擎，它支持跨整個堆棧執(zhí)行統(tǒng)一的、上下文感知的策略。該項目于 2018 年 4 月進入 CNCF 沙箱，一年后進入孵化階段。來自大約 30 個組織的 90 多名人員為 OPA 貢獻力量，維護者來自四個組織，包括谷歌、微軟、VMware 和 Styra。

?

OPA 提供了一種高級聲明性語言來在整個堆棧中編寫和實施策略。

使用 OPA，你可以定義 rules?來管理你的系統(tǒng)應該如何運作。這些 rules 的存在是為了回答以下問題：

• 用戶 X 可以調(diào)用資源 Z 上的操作 Y 嗎？
• 應將工作負載 W 部署到哪些群集？
• 在創(chuàng)建資源 R之 前，必須在資源 R 上設置哪些標簽？

你將服務與 OPA 集成，這樣這些政策決定就不必在你的服務中硬編碼。服務與 OPA 的集成是通過在需要政策決定時執(zhí)行查詢來實現(xiàn)的。

當你向 OPA 查詢策略決策時，OPA 會評估 rules?和 data（由你提供）以得出答案。該策略決策作為查詢結果發(fā)送回去。

例如，在一個簡單的 API 授權用例中：

• 你編寫允許（或拒絕）訪問服務 API 的規(guī)則。
• 你的服務在收到 API 請求時會查詢 OPA。
• OPA returns 允許（或拒絕）你的服務決策。
• 你的服務通過相應地接受或拒絕請求來執(zhí)行決策。