1. 课程导论：OPA是什么、为什么要在流水线中集成OPA、课程目标与学习路径
1.1 什么是OPA？
Open Policy Agent (OPA) 是一个开源的、通用策略引擎，它将策略决策与业务逻辑执行解耦。OPA 通过一种高级声明式语言 Rego 来描述策略，并提供统一的 API 供各服务调用，从而实现对基础设施、微服务、CI/CD 流水线等场景的策略合规性判断。
核心思想： OPA 不负责执行策略（如“阻止构建”），只负责回答“这个请求是否允许？”（Yes/No + 原因）。它将策略决策从具体系统中抽离，形成独立的策略层。
| 特性 | 说明 |
|---|---|
| 策略即代码 | 使用 Rego 语言编写，可版本控制、测试、复用 |
| 解耦决策 | 策略决策与业务逻辑分离，降低系统耦合度 |
| 统一策略层 | 一套策略引擎可服务多个系统（K8s、CI/CD、API网关等） |
| 上下文感知 | 支持传入任意 JSON 数据作为输入，策略可基于完整上下文做判断 |
| 高性能 | 预编译、缓存、增量更新，适合高频决策场景 |
1.2 为什么要在流水线中集成OPA？
现代 CI/CD 流水线面临日益严峻的安全挑战：开源组件漏洞、配置漂移、敏感信息泄露、构建产物篡改等。传统安全扫描往往在构建完成后才进行，发现问题时已产生大量浪费。OPA 的引入将安全策略决策左移，在流水线的关键节点实施实时验证与阻断。
关键价值： 将安全策略从“事后审计”转变为“事前阻断”，在构建、测试、部署的每个环节自动执行策略检查，不符合策略的构建产物直接被拒绝进入下一阶段。
| 流水线痛点 | OPA 解决方案 |
|---|---|
| 安全扫描滞后，发现问题时已构建完成 | 在构建、测试、打包等阶段插入 OPA 策略检查点，实时阻断 |
| 策略分散在脚本、工具、配置中，难以统一管理 | 所有安全策略集中为 Rego 代码，统一版本控制与审计 |
| 不同团队使用不同工具，策略标准不一致 | OPA 作为统一策略层，所有流水线调用同一套策略引擎 |
| 构建产物（镜像、包、二进制）缺乏安全元数据验证 | OPA 可验证 SBOM、签名、漏洞报告等元数据是否符合策略 |
| 人工审批流程慢，且容易遗漏 | 自动化策略决策，0 人工干预，阻断不合规构建 |
1.3 课程目标与学习路径
本课程旨在帮助 DevOps、安全工程师掌握在 CI/CD 流水线中集成 OPA 实现构建产物安全验证与阻断的完整技能。课程从基础概念到生产级实践，覆盖以下核心能力：
- 掌握 Rego 策略语言：能够编写针对构建产物（容器镜像、JAR 包、NPM 包等）的安全验证策略。
- 设计流水线策略架构：在 Jenkins、GitLab CI、GitHub Actions 等主流流水线中嵌入 OPA 检查点。
- 实现构建产物安全验证：对 SBOM、漏洞报告、签名、许可证、敏感信息等进行策略化检查。
- 构建阻断机制：当策略检查失败时，自动阻断流水线并输出详细原因。
- 策略测试与持续优化：使用 OPA 测试框架保障策略质量，并建立策略更新流程。
前置要求： 建议学习者具备基本的 CI/CD 流水线使用经验（如 Jenkins、GitLab CI 或 GitHub Actions），了解容器镜像、软件包管理、安全扫描等概念。无需预先掌握 OPA 或 Rego，课程将从零开始讲解。