3、主流工具概览：OPA、Sentinel、Kyverno、Cedar 策略语言对比

策略即代码（Policy as Code）生态中，不同工具在语法设计、执行模型、集成方式上存在显著差异。本章从策略语言范式、运行时架构、云原生适配度三个维度，对 Open Policy Agent (OPA)、Hashicorp Sentinel、Kyverno、Cedar Policy 语言进行系统性对比，帮助你在流水线调试中选择最合适的策略引擎。

3.1 工具定位与核心差异

3.2 策略语言语法对比

3.2.1 OPA / Rego

Rego 基于 Datalog 扩展，使用 data 文档模型和 input 输入查询。策略以 allow / deny 规则形式表达。

package kubernetes.admission

import rego.v1

deny contains msg if {
    input.request.operation == "CREATE"
    input.request.object.kind == "Pod"
    not input.request.object.spec.containers[_].securityContext.runAsNonRoot
    msg := "容器必须设置 runAsNonRoot: true"
}

3.2.2 Hashicorp Sentinel

Sentinel 使用类 Go 的规则语言，支持 import 模块和 rule 定义。策略通过 main 规则聚合判断。

import "tfplan/v2" as tfplan

allowed_instance_types = ["t3.micro", "t3.small"]

main = rule {
    all tfplan.resource_changes as _, rc {
        rc.mode is "managed" and
        rc.type is "aws_instance" implies
        rc.change.after.instance_type in allowed_instance_types
    }
}

3.2.3 Kyverno

Kyverno 策略完全使用 YAML 声明，通过 match / validate / mutate 结构定义，无需学习新语言。

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: require-run-as-non-root
spec:
  validationFailureAction: Enforce
  rules:
  - name: check-run-as-non-root
    match:
      any:
      - resources:
          kinds:
          - Pod
    validate:
      message: "容器必须设置 runAsNonRoot: true"
      pattern:
        spec:
          containers:
          - securityContext:
              runAsNonRoot: true

3.2.4 Cedar

Cedar 策略以 permit / forbid 语句为核心，结合 principal、action、resource 三元组建模权限。

permit (
    principal in Role::"admin",
    action in [Action::"Read", Action::"Write"],
    resource in Namespace::"production"
) when {
    resource.tags contains "critical"
};

3.3 运行时架构对比

3.4 流水线集成方式对比

3.5 调试工具链对比

3.6 选型决策矩阵

3.7 流水线调试最佳实践

1. 本地优先验证：在提交策略到流水线之前，使用各工具提供的 CLI 进行本地测试，减少 CI 循环次数。
2. 策略版本化：将策略代码与业务代码一同纳入 Git 仓库，使用语义化版本标记策略变更。
3. 增量调试：从最简单的 allow / deny 规则开始，逐步增加条件分支，每次变更后运行测试套件。
4. 日志与追踪：在流水线中开启策略引擎的详细日志模式，记录输入、输出和中间变量，便于回溯问题。
5. 策略覆盖率：使用各工具提供的覆盖率工具（如 opa test --coverage）确保每条规则都被测试覆盖。