3、OPA安装与部署：二进制安装、容器化部署、作为Sidecar运行

OPA（Open Policy Agent）的部署方式直接影响策略执行链路的延迟、资源开销以及运维复杂度。在Serverless流水线场景中，策略引擎需要与CI/CD任务生命周期紧密耦合，同时保持轻量和可移植。本章覆盖三种主流部署模式：二进制安装（适用于本地开发与单机测试）、容器化部署（适用于Kubernetes原生环境）以及Sidecar模式（适用于Serverless函数与微服务网格）。

3.1 二进制安装：快速启动与本地验证

二进制安装适合开发环境快速验证策略逻辑，或在不支持容器的边缘节点运行OPA。官方提供Linux、macOS、Windows多平台预编译二进制文件。

安装步骤

1. 下载二进制：从OPA GitHub Releases页面获取对应平台的最新版本。
2. 赋予执行权限：chmod +x opa
3. 验证安装：opa version
4. 启动服务器模式：opa run --server --addr :8181

二进制部署适用场景对比

3.2 容器化部署：Kubernetes原生策略执行

容器化是生产环境最主流的OPA部署方式，尤其适合与Kubernetes Admission Controller、Ingress Controller或Serverless工作负载集成。官方镜像 openpolicyagent/opa 基于scratch构建，镜像体积约20MB，安全且高效。

Docker运行示例

docker run -d --name opa \
  -p 8181:8181 \
  -v $(pwd)/policies:/policies \
  openpolicyagent/opa:latest \
  run --server --addr :8181 \
  --set bundles.policies.service=local \
  --set bundles.policies.resource=/policies/*.rego

Kubernetes Deployment清单

apiVersion: apps/v1
kind: Deployment
metadata:
  name: opa
  labels:
    app: opa
spec:
  replicas: 2
  selector:
    matchLabels:
      app: opa
  template:
    metadata:
      labels:
        app: opa
    spec:
      containers:
      - name: opa
        image: openpolicyagent/opa:latest
        args:
        - "run"
        - "--server"
        - "--addr=:8181"
        ports:
        - containerPort: 8181
        livenessProbe:
          httpGet:
            path: /health
            port: 8181
        readinessProbe:
          httpGet:
            path: /health
            port: 8181

3.3 Sidecar模式：Serverless流水线的策略代理

在Serverless架构中，函数实例生命周期短、冷启动频繁，传统集中式策略引擎可能引入额外网络延迟。Sidecar模式将OPA作为与函数容器同Pod的辅助容器运行，策略决策通过本地localhost通信完成，延迟通常在毫秒级。

Sidecar架构优势

• 低延迟：本地回环通信，避免跨Pod网络开销。
• 策略隔离：每个函数实例拥有独立的策略缓存，互不干扰。
• 版本对齐：Sidecar与函数容器共享生命周期，策略版本与函数代码可同步更新。

Sidecar部署示例（Kubernetes Pod）

apiVersion: v1
kind: Pod
metadata:
  name: serverless-fn-with-opa
spec:
  containers:
  - name: function
    image: my-serverless-function:latest
    env:
    - name: OPA_URL
      value: "http://localhost:8181"
  - name: opa-sidecar
    image: openpolicyagent/opa:latest
    args:
    - "run"
    - "--server"
    - "--addr=:8181"
    ports:
    - containerPort: 8181
    volumeMounts:
    - name: policy-volume
      mountPath: /policies
  volumes:
  - name: policy-volume
    configMap:
      name: opa-policies

3.4 三种部署模式对比

3.5 部署模式选择决策流程