OPA策略在流水线中的构建产物签名验证与合规阻断 - 第2节

2.1 OPA 整体架构

Open Policy Agent (OPA) 是一个开源的、通用策略引擎，它将策略决策与策略执行解耦。在 DevSecOps 流水线中，OPA 作为“策略决策点”（Policy Decision Point, PDP）独立运行，通过标准的 API 接口接收查询并返回决策结果。

2.1.1 架构组件说明

2.2 Rego 语言核心概念

Rego 是 OPA 专用的声明式策略语言，灵感来源于 Datalog。与通用编程语言不同，Rego 专注于“数据查询”和“规则定义”，而非“流程控制”。

2.2.1 基本语法结构

package pipeline.verify

# 规则定义：签名验证通过
default allow = false

allow {
    input.signature.valid == true
    input.signature.algorithm == "SHA256-RSA"
    input.signature.expiry > time.now_ns()
}

# 规则定义：产物来源可信
allow {
    input.provenance.builder == "trusted-builder"
    input.provenance.slsa_level >= 2
}

2.2.2 数据模型：input 与 data

2.3 规则模型与决策逻辑

2.3.1 规则类型

2.3.2 决策组合模式

在流水线签名验证场景中，通常采用“允许列表 + 阻断列表”的组合决策模式：

package pipeline.verify

# 默认拒绝
default allow = false

# 允许条件：签名有效且签名者受信任
allow {
    input.signature.valid == true
    data.trusted_signers[input.signature.signer]
}

# 阻断条件：签名者被明确列入黑名单
deny[reason] {
    input.signature.valid == true
    data.blocked_signers[input.signature.signer]
    reason := sprintf("签名者 %v 已被列入黑名单", [input.signature.signer])
}

# 阻断条件：签名已过期
deny[reason] {
    input.signature.expiry < time.now_ns()
    reason := "签名已过期，请重新签名"
}

2.4 数据与规则的加载方式

2.4.1 数据加载

• 启动时加载：通过 --data 参数加载 JSON/YAML 文件，作为 data 命名空间的持久数据
• API 推送：通过 OPA REST API PUT /v1/data 动态更新数据文档
• Bundle 服务：从 Bundle 服务器拉取打包的策略与数据，支持版本管理和热更新

2.4.2 策略加载

• 文件加载：通过 --policy 参数加载 .rego 策略文件
• Bundle 打包：将多个 .rego 文件打包为 .tar.gz，通过 Bundle API 分发
• 内联策略：在查询请求中直接携带策略（适用于测试和轻量场景）