2. OPA核心概念：Policy、Data、Query、Input与Decision的完整生命周期

OPA（Open Policy Agent）的策略执行模型围绕五个核心概念构建：Policy（策略）、Data（数据）、Query（查询）、Input（输入）与Decision（决策）。理解这五个要素及其交互生命周期，是掌握OPA在云原生日志平台中实施访问控制的基础。

2.1 核心概念定义与职责

2.2 完整生命周期流程

OPA的策略评估并非一次性动作，而是一个包含加载→绑定→评估→返回四个阶段的闭环过程。下图展示了从日志平台发起请求到OPA返回决策的完整链路：

2.3 各要素在Rego中的具体表现

2.3.1 Policy（策略）—— Rego规则文件

Policy是OPA的核心，使用Rego声明式语言编写。一个典型的日志访问控制策略包含默认规则和具体规则：

package log_acls

# 默认拒绝：没有明确允许的请求一律拒绝
default allow_query = false

# 规则1：如果用户是日志所属项目的成员，允许查询
allow_query {
    input.operation == "query"
    data.project_members[input.project_id][_] == input.user_id
}

# 规则2：如果用户是全局管理员，允许查询所有日志
allow_query {
    input.operation == "query"
    data.global_admins[_] == input.user_id
}

2.3.2 Data（数据）—— 持久化上下文

Data是OPA在内存中维护的JSON文档树，可通过以下方式加载：

• 启动加载：通过 --data 参数指定JSON文件或Rego文件中的data赋值。
• API推送：通过 PUT /v1/data 接口增量更新特定路径。
• Bundle拉取：从远端Bundle服务器获取策略与数据的打包文件。

日志平台中的Data示例：

{
  "project_members": {
    "project-alpha": ["user-001", "user-002", "user-003"],
    "project-beta":  ["user-002", "user-004"]
  },
  "global_admins": ["user-000", "user-001"],
  "log_retention_days": 90
}

2.3.3 Query（查询）与Input（输入）—— 请求触发

日志平台通过REST API向OPA发起查询，Query指定要评估的规则路径，Input携带请求上下文：

POST /v1/data/log_acls/allow_query
Content-Type: application/json

{
  "input": {
    "user_id": "user-002",
    "project_id": "project-alpha",
    "operation": "query",
    "log_id": "log-20250315-001",
    "timestamp": "2025-03-15T10:30:00Z"
  }
}

2.3.4 Decision（决策）—— 评估结果

OPA返回的Decision是一个JSON对象，包含查询路径对应的规则值：

{
  "result": true
}

如果策略中定义了更丰富的输出，Decision可以包含结构化信息：

# 增强策略：返回允许原因
allow_query = {"allowed": true, "reason": "user-002 是 project-alpha 的成员"} {
    input.operation == "query"
    data.project_members[input.project_id][_] == input.user_id
}

# 返回结果
{
  "result": {
    "allowed": true,
    "reason": "user-002 是 project-alpha 的成员"
  }
}

2.4 生命周期中的关键交互关系

下图展示了Policy、Data、Input在Rego引擎中的绑定与评估关系：

2.5 生命周期中的关键特性

2.6 生命周期在日志平台中的实际映射

以“用户查询项目日志”为例，完整生命周期映射如下：

1. 加载阶段：OPA启动时加载 log_acls.rego 策略文件和 project_members.json 数据文件。
2. 绑定阶段：日志平台收到用户查询请求，构造Query路径 data.log_acls.allow_query，Input包含 {"user_id": "user-002", "project_id": "project-alpha", "operation": "query"}。
3. 评估阶段：Rego引擎将Input中的 user-002 与Data中的 project-alpha 成员列表匹配，发现 user-002 在成员列表中，规则条件满足。
4. 返回阶段：OPA返回 {"result": true}，日志平台放行该查询请求。

如果用户不在项目成员列表中，且不是全局管理员，则所有规则均不满足，allow_query 保持默认值 false，日志平台拒绝请求并返回403状态码。