1. 课程导论：服务网格与 OPA 概述、为什么需要细粒度访问控制、课程目标与前置知识
1.1 服务网格：从微服务通信到流量拓扑
服务网格（Service Mesh）是云原生架构中处理服务间通信的基础设施层。它将原本嵌入在业务代码中的熔断、重试、负载均衡、流量路由、可观测性等能力，剥离到独立的代理层（Sidecar Proxy），使开发者可以专注于业务逻辑。
典型的服务网格架构由数据平面和控制平面组成：
- 数据平面：由与每个服务实例一同部署的 Sidecar 代理（如 Envoy、Linkerd-proxy）构成，负责拦截、转发、观测所有进出服务的流量。
- 控制平面：负责下发配置、管理证书、聚合遥测数据，典型实现包括 Istiod、Linkerd Controller、Consul Server。
服务网格的核心价值在于：
| 能力维度 | 传统实现 | 服务网格实现 |
|---|---|---|
| 流量管理 | 硬编码在业务代码或网关 | 声明式路由规则（VirtualService、DestinationRule） |
| 安全通信 | 应用层 TLS 或自建 mTLS | 自动 mTLS、证书轮换、SPIFFE 身份 |
| 可观测性 | 埋点 + 日志聚合 | 无侵入指标、链路追踪、访问日志 |
| 策略执行 | 应用层中间件或硬编码 | 可插拔策略引擎（如 OPA） |
关键认知： 服务网格将流量拓扑从“黑盒”变为“可编程的声明式拓扑”。但默认的网格策略（如 Istio RBAC）仅支持基于 HTTP 方法、路径、JWT 声明的粗粒度控制，无法满足复杂业务场景下的上下文感知访问控制。
1.2 OPA 策略引擎：云原生策略的通用语言
OPA（Open Policy Agent）是一个开源的、通用的策略引擎，它将策略决策与策略执行解耦。OPA 使用声明式语言 Rego 来描述策略，通过查询输入数据（input）和上下文数据（data）来输出决策结果。
OPA 在云原生生态中的定位：
- 策略即代码：Rego 策略可以像应用代码一样进行版本控制、测试、CI/CD 集成。
- 解耦决策：OPA 不负责执行策略，只负责“决策”。执行由 Sidecar、API 网关、Kubernetes Admission Controller 等组件完成。
- 上下文感知：OPA 可以加载外部数据（如服务元数据、用户角色、环境标签），实现基于丰富上下文的细粒度控制。
OPA 核心模型： 决策 = f(input, data, policy)。其中 input 是请求属性（来源 IP、HTTP 方法、JWT 等），data 是外部上下文（服务拓扑、用户角色、合规标签），policy 是 Rego 规则集。
1.3 为什么需要细粒度访问控制？
传统的服务网格访问控制（如 Istio RBAC、AuthorizationPolicy）通常基于 HTTP 方法 + 路径 + JWT 声明 进行匹配。这种模型在以下场景中暴露出明显不足：
| 场景 | 传统粗粒度策略 | 细粒度策略需求 |
|---|---|---|
| 多租户隔离 | 按命名空间隔离 | 同一命名空间内，基于租户 ID、请求来源、数据分区进行隔离 |
| 合规审计 | 允许/拒绝所有流量 | 仅允许携带合规标签（如 PCI、HIPAA）的服务间通信 |
| 灰度发布 | 基于 Header 路由 | 根据用户等级、设备类型、地域动态决定是否允许访问新版本 |
| 数据安全 | 全量 mTLS | 仅允许特定敏感服务使用 mTLS，且需验证客户端证书中的 SPIFFE ID |
| 成本控制 | 无 | 限制非生产环境服务对生产数据库的访问，基于环境标签和请求路径 |
细粒度访问控制的核心价值在于：
- 最小权限原则：每个服务只被授予完成其功能所需的最小权限。
- 动态策略：策略可以在不重启服务、不重新部署 Sidecar 的情况下实时更新。
- 可审计：每次决策的输入、输出、策略版本都可以被记录和追溯。
- 上下文丰富：决策可以基于服务拓扑、请求负载、运行时指标、外部数据源等。
常见误区： 细粒度不等于“写更多规则”。细粒度的核心是“基于上下文动态决策”，而不是将粗粒度规则拆成 100 条静态规则。OPA + Rego 的优势在于可以用少量规则表达复杂的上下文逻辑。
1.4 课程目标与前置知识
本课程旨在帮助学员掌握将 OPA 策略引擎集成到服务网格中，实现基于流量拓扑的细粒度访问控制。课程结束后，学员将能够：
- 理解服务网格数据平面与控制平面的策略执行模型。
- 使用 Rego 语言编写上下文感知的访问控制策略。
- 将 OPA 作为 Sidecar 扩展或外部决策点集成到 Istio / Linkerd 中。
- 设计基于服务拓扑、请求属性、外部数据的细粒度策略。
- 对策略进行单元测试、性能调优和可观测性集成。
| 前置知识领域 | 具体要求 |
|---|---|
| Kubernetes 基础 | 熟悉 Pod、Service、Namespace、Deployment、ConfigMap 等核心资源；了解 kubectl 常用操作 |
| 服务网格概念 | 了解 Sidecar 代理、数据平面/控制平面、流量路由（VirtualService、DestinationRule） |
| 容器与微服务 | 理解容器化部署、服务间通信模式（同步/异步）、mTLS 基本概念 |
| 策略与安全基础 | 了解 RBAC、ABAC、JWT、SPIFFE 身份等基本概念 |
课程实验环境： 建议准备一套 Kubernetes 集群（minikube / kind / 云托管集群均可），安装 Istio 1.18+ 或 Linkerd stable-2.14+，以及 OPA 0.50+。课程所有示例代码均可在提供的 GitHub 仓库中找到。