4. OPA (Open Policy Agent) 入门：OPA架构、Rego语言基础、安装与配置

4.1 OPA 核心架构与设计哲学

OPA 是一个开源的、通用策略引擎，它将策略决策从软件的业务逻辑中解耦。OPA 不负责执行策略（如拒绝请求），而是负责评估策略并返回决策结果。其核心架构遵循“决策请求 → 策略评估 → 决策响应”的闭环模型。

4.2 Rego 语言基础

Rego 是 OPA 的原生声明式查询语言，灵感来源于 Datalog。Rego 的核心是定义规则（Rules），这些规则描述了在给定输入（input）和上下文数据（data）下，策略应该如何决策。

4.2.1 基本语法与结构

4.2.2 完整策略示例：回滚审批检查

以下 Rego 策略检查一个回滚请求是否满足两个条件：回滚目标版本必须存在于已知的发布清单中，且回滚操作必须在业务时间窗口内执行。

package pipeline.rollback

# 默认拒绝所有回滚
default allow = false

# 规则1：回滚目标版本必须存在于已知发布清单中
allow {
    input.action == "rollback"
    input.target_version == data.releases.valid_versions[_]
}

# 规则2：回滚操作必须在业务时间窗口内（UTC 时间 08:00 - 18:00）
allow {
    input.action == "rollback"
    time_ok
}

# 辅助规则：检查当前时间是否在窗口内
time_ok {
    current_hour := time.now_ns() / 3600000000000 % 24
    current_hour >= 8
    current_hour < 18
}

# 拒绝原因：当 allow 为 false 时，提供详细原因
deny[reason] {
    not allow
    reason := "回滚被拒绝：目标版本不在发布清单中，或当前不在业务时间窗口内。"
}

4.3 OPA 安装与配置

OPA 支持多种部署模式：作为独立守护进程（Daemon）、作为 Go 库嵌入、或作为 sidecar 容器运行。在 CI/CD 流水线集成场景中，最常用的是独立守护进程模式和CLI 模式。

4.3.1 安装方式对比

4.3.2 配置策略与数据加载

OPA 启动后，需要通过 REST API 或文件系统加载策略和数据。以下是一个典型的启动与配置流程：

1. 启动 OPA 服务： opa run --server --addr :8181
2. 加载策略文件： 通过 PUT 请求上传 rollback_policy.rego 到 /v1/policies/rollback
3. 加载数据文档： 通过 PUT 请求上传 releases.json 到 /v1/data/releases
4. 执行策略查询： 发送 POST 请求到 /v1/data/pipeline/rollback/allow，携带回滚请求的 JSON 作为 input

4.4 与 CI/CD 流水线集成的关键配置

在 CI/CD 流水线中，OPA 通常以独立服务或CLI 工具的形式存在。流水线在关键阶段（如回滚前）向 OPA 发送查询，获取决策。

• 服务模式： OPA 作为长期运行的服务，流水线通过 HTTP 调用。适合多流水线共享策略。
• CLI 模式： 在流水线 Job 中直接执行 opa eval 命令。适合单次、隔离的策略检查，无需维护服务。
• 数据同步： 流水线需要确保 OPA 加载的数据（如发布清单、环境白名单）是最新的。可以通过流水线前置步骤定期推送数据到 OPA。