4. OPA基础架构：Rego语言、Data模型、Query模型、Bundle分发

OPA（Open Policy Agent）作为云原生策略引擎的核心，其基础架构由四个关键组件构成：Rego语言（策略编写）、Data模型（数据输入）、Query模型（策略评估）和Bundle分发（策略部署）。理解这四者的协同关系，是进行容量规划的前提——每个环节都可能成为性能瓶颈。

4.1 Rego语言：声明式策略语言

Rego是OPA专用的声明式策略语言，灵感来源于Datalog。它不描述“如何做”，而是描述“策略是什么”。Rego的核心语法结构包括规则（Rules）、表达式（Expressions）和内置函数（Built-ins）。

以下是一个典型的Rego规则示例，用于检查容器镜像是否来自允许的仓库：

package kubernetes.admission

# 定义允许的镜像仓库列表
allowed_registries := {"docker.io/library", "gcr.io/google-containers"}

# 规则：拒绝来自非允许仓库的镜像
deny[msg] {
    input.request.operation == "CREATE"
    container := input.request.object.spec.containers[_]
    not startswith(container.image, allowed_registries[_])
    msg := sprintf("镜像 %v 来自非允许仓库", [container.image])
}

Rego的求值模型基于完全求值和部分求值两种模式。在容量规划中，部分求值可以预计算静态部分，减少运行时开销。

4.2 Data模型：策略决策的输入

OPA的Data模型是策略评估的输入基础。数据分为两类：基础文档（Base Documents）和虚拟文档（Virtual Documents）。基础文档由外部注入（如JSON/YAML），虚拟文档由Rego规则动态生成。

数据加载路径遵循分层结构：

• 全局数据：通过OPA启动参数或Bundle加载，适用于集群级策略（如全局黑名单）。
• 输入数据：每次查询时传入的input对象，包含请求上下文（如Kuberentes AdmissionReview）。
• 缓存数据：OPA内部缓存的外部数据，减少重复加载开销。

以下是一个Data模型的JSON结构示例：

{
  "data": {
    "allowed_registries": ["docker.io/library", "gcr.io"],
    "blocked_namespaces": ["kube-system", "istio-system"],
    "resource_quotas": {
      "default": {"cpu": "4", "memory": "8Gi"},
      "production": {"cpu": "16", "memory": "32Gi"}
    }
  }
}

4.3 Query模型：策略评估的执行路径

OPA的Query模型定义了策略如何被评估。每次查询都经过解析（Parsing）、编译（Compilation）和执行（Evaluation）三个阶段。查询可以是简单的布尔判断，也可以是复杂的聚合计算。

查询类型包括：

• Admission查询：返回allow或deny，用于Kuberentes准入控制。
• 数据查询：返回结构化数据，如data.kubernetes.admission.deny。
• 自定义查询：通过REST API传入任意Rego表达式。

查询性能受以下因素影响：

4.4 Bundle分发：策略的部署与同步

Bundle是OPA策略和数据的打包分发机制。一个Bundle包含Rego文件、JSON数据文件和元数据（.manifest）。OPA通过HTTP或gRPC从Bundle服务器拉取更新，实现策略的热加载。

Bundle分发的核心流程：

1. 打包：将策略文件和数据文件按目录结构组织，生成tar.gz压缩包。
2. 签名：使用私钥对Bundle进行签名，OPA验证签名确保完整性。
3. 分发：OPA定期轮询Bundle服务器，或通过Webhook接收推送通知。
4. 激活：OPA解压并加载新Bundle，原子化切换策略版本。

Bundle目录结构示例：

bundle/
├── .manifest          # 元数据：版本、签名、根策略
├── policies/
│   ├── admission.rego # 准入控制策略
│   └── audit.rego     # 审计策略
└── data/
    ├── registries.json # 镜像仓库白名单
    └── quotas.json    # 资源配额数据

Bundle分发方式对比：

4.5 四者协同与容量规划

Rego语言、Data模型、Query模型和Bundle分发并非孤立组件，它们在策略评估生命周期中紧密协作：

• 编写阶段：Rego规则引用Data模型中的基础文档，定义查询逻辑。
• 部署阶段：Bundle将Rego文件和Data打包分发到OPA实例。
• 评估阶段：Query模型接收输入，结合Data执行Rego规则，输出决策。

容量规划的核心指标包括：