1. 课程导论：云原生日志平台面临的访问控制挑战

1.1 云原生日志平台的架构演变与安全边界模糊

在云原生架构中，日志平台已从单体应用演变为由多个微服务、数据管道和存储引擎组成的复杂拓扑。典型的云原生日志平台包含以下核心组件：

传统基于角色的访问控制（RBAC）在静态环境中表现良好，但在云原生动态拓扑下暴露出以下核心挑战：

• 动态身份与资源：Pod 频繁启停、命名空间动态创建，静态角色绑定无法实时响应。
• 跨组件策略不一致：采集层、传输层、存储层各自维护独立的访问控制策略，导致安全漏洞。
• 细粒度权限缺失：无法实现“仅允许查看特定命名空间下 ERROR 级别日志”这类上下文感知策略。
• 审计与合规压力：金融、医疗等行业要求对日志访问行为进行全链路审计，传统方案难以追溯。

1.2 OPA（Open Policy Agent）简介

OPA 是一个开源的、通用策略引擎，它将策略决策从应用逻辑中解耦。OPA 使用高级声明式语言 Rego 编写策略，通过统一的 API 对外提供策略查询服务。

OPA 的核心架构遵循“决策请求-策略评估-决策响应”模式：

// 典型的 OPA 决策请求结构（JSON）
{
  "input": {
    "user": "alice",
    "action": "read",
    "resource": {
      "type": "log",
      "namespace": "production",
      "index": "app-2024-*"
    },
    "context": {
      "time": "2024-12-01T10:00:00Z",
      "source_ip": "10.0.1.100"
    }
  }
}

// OPA 决策响应
{
  "result": {
    "allow": true,
    "reason": "alice 拥有 production 命名空间日志的读取权限",
    "audit_id": "audit-20241201-001"
  }
}

OPA 在日志访问控制中的核心价值体现在以下维度：

1.3 OPA 在日志访问控制中的架构定位

下图展示了 OPA 在云原生日志平台组件拓扑中的核心位置，以及它与各组件之间的策略决策交互关系：

1.4 本课程的核心实践路径

本课程将围绕以下实践路径展开，帮助学员掌握基于 OPA 的日志访问控制完整技能：

1. 环境搭建：部署 OPA 策略引擎，配置与日志平台的集成接口。
2. Rego 策略编写：从基础语法到高级模式，覆盖日志访问控制的典型场景。
3. 组件拓扑集成：将 OPA 策略注入采集层、传输层、存储层和查询层。
4. 性能优化：策略缓存、决策预计算、分布式部署策略。
5. 审计与合规：构建全链路审计系统，满足行业合规要求。
6. 生产级运维：策略版本管理、灰度发布、故障恢复最佳实践。