📚 课程目录第3章 OPA与Rego入门

3. OPA 与 Rego 入门：OPA 架构、Rego 语言基础、策略即代码的理念

在构建 Argo CD 回滚护栏时，OPA（Open Policy Agent）是策略执行的核心引擎，而 Rego 则是描述策略的语言。本章将深入剖析 OPA 的架构设计、Rego 语言的核心语法，并阐释“策略即代码”（Policy as Code）这一核心理念如何为云原生环境带来可审计、可测试、可版本化的策略管理能力。

3.1 策略即代码（Policy as Code）理念

传统策略管理通常依赖人工审核、硬编码逻辑或分散的配置文件，难以保证一致性和可追溯性。“策略即代码”将策略从应用代码和基础设施配置中解耦，使其成为独立的、可版本控制的代码制品。

维度	传统策略管理	策略即代码（OPA 方式）
存储	配置文件、Wiki、人工记忆	Git 仓库，版本化、可回滚
测试	手动验证，依赖环境	单元测试、集成测试，自动化
执行	嵌入应用代码，耦合度高	外部化决策，与业务逻辑解耦
审计	日志分散，难以追溯	每次决策都有完整输入/输出记录
变更	修改后需重新部署应用	热加载策略，无需重启服务

  核心收益： 策略即代码使得 Argo CD 回滚护栏可以像管理应用清单一样管理策略——通过 Pull Request 审核、CI 流水线验证，最终实现“未经测试的策略不允许上线”。

3.2 OPA 架构：解耦决策与执行

OPA 采用客户端-服务器（或嵌入库）架构，核心职责是“做出决策”，而将决策的执行交给外部系统（如 Argo CD、Kubernetes API Server、Envoy 等）。

关键理解： OPA 不负责“执行”策略结果，它只回答“是否允许？”的问题。Argo CD 作为客户端，将回滚请求的上下文（目标版本、当前状态、用户信息）发送给 OPA，OPA 返回 allow 或 deny，由 Argo CD 决定后续动作。

3.3 Rego 语言基础

Rego 是专为 OPA 设计的声明式查询语言，灵感来源于 Datalog。它不描述“如何做”，而是描述“策略是什么”。

3.3.1 核心语法元素

语法元素	说明	示例
规则（Rule）	策略的基本单元，定义决策逻辑	`allow := true { ... }`
表达式（Expression）	条件判断，必须全部为真规则才成立	`input.rollback.to_version != "v1.0.0"`
迭代（Iteration）	隐式遍历集合，无需显式循环	`some app in input.applications`
聚合（Aggregation）	对集合进行计数、求和等操作	`count(violations) > 0`
内置函数	提供字符串、时间、正则等能力	`time.now_ns()`, `regex.match(...)`

3.3.2 第一个 Rego 策略：回滚版本检查

以下策略禁止回滚到名为 v1.0.0 的版本：

package argo_cd.rollback

# 默认拒绝所有回滚
default allow := false

# 允许回滚的条件：目标版本不是 v1.0.0
allow {
    input.rollback.to_version != "v1.0.0"
}

# 提供拒绝原因
deny["禁止回滚到版本 v1.0.0，该版本存在已知数据迁移缺陷"] {
    input.rollback.to_version == "v1.0.0"
}

  规则解析：
  package 定义策略命名空间，避免冲突。
default allow := false 设置默认拒绝，遵循零信任原则。
allow { ... } 规则体中的表达式全部为真时，allow 为 true。
deny["消息"] { ... } 提供人类可读的拒绝原因，便于调试和审计。

3.3.3 输入（Input）与数据（Data）

Rego 策略决策依赖两类信息源：

input：客户端每次查询时传入的临时数据，如回滚请求的详细信息。
data：OPA 缓存的外部数据，如集群状态、配置白名单，可通过 API 或文件加载。

# 使用 input 和 data 联合决策
allow {
    # 目标版本不在黑名单中
    not data.blacklist.versions[input.rollback.to_version]
    # 回滚时间在维护窗口内
    time_in_maintenance_window(input.rollback.timestamp)
}

time_in_maintenance_window(ts) {
    # 假设维护窗口为 UTC 时间 02:00-04:00
    hour := time.clock([ts, 0, 0])[0]
    hour >= 2
    hour < 4
}

3.4 Rego 查询与决策流程

当 Argo CD 向 OPA 发起查询时，OPA 内部执行以下步骤：

接收查询：解析客户端发送的 input JSON 对象。
加载策略：从缓存中获取 package 对应的 Rego 规则。
绑定数据：将 data 中的外部数据与规则中的引用关联。
规则求值：遍历规则体，检查所有表达式是否满足。
返回结果：输出 allow、deny 等决策值，以及可选的详细消息。

3.5 常见 Rego 模式与最佳实践

模式	描述	适用场景
默认拒绝	使用 `default allow := false`，仅显式允许	所有安全敏感策略
白名单/黑名单	通过 `data` 加载允许或禁止的列表	版本黑名单、用户白名单
时间窗口	使用 `time` 内置函数限制操作时段	维护窗口、变更冻结期
多条件组合	多个 `allow` 规则体，任一满足即允许	管理员绕过、紧急回滚通道
审计日志	在策略中生成结构化审计信息	合规要求、事后追溯

常见陷阱：

忘记设置 default allow := false，导致未匹配规则时返回 undefined，被客户端误判为允许。
在规则体中使用 =（赋值）而非 ==（比较），导致逻辑错误。
忽略 data 的时效性，缓存数据过期导致策略决策不准确。

3.6 本章小结

通过本章学习，你已掌握：

策略即代码 的核心价值：版本化、可测试、可审计。
OPA 架构 的决策与执行分离模式，以及数据缓存机制。
Rego 语言基础：规则、表达式、输入/数据、内置函数。
查询决策流程：从接收查询到返回结果的完整链路。