📚 课程目录第2章 PaC工具选型与对比

2. PaC 工具选型与对比：OPA（Rego）、Sentinel、Kyverno、Cedar 策略引擎对比分析

在构建 Policy as Code 流水线时，策略引擎的选型直接决定了策略表达能力、执行性能、生态集成难度以及团队学习曲线。当前主流策略引擎包括 OPA（Rego）、HashiCorp Sentinel、Kyverno 以及 AWS Cedar。本章从语言范式、集成模式、适用场景、测试支持四个维度进行系统性对比，帮助团队根据自身技术栈与合规需求做出合理选择。

2.1 策略引擎核心能力对比总览

下表从策略定义语言、输入模型、决策模式、执行环境、版本管理、测试框架六个关键维度进行横向对比：

对比维度	OPA (Rego)	Sentinel	Kyverno	Cedar
策略语言	Rego（声明式逻辑查询）	Sentinel（策略即代码，类 HCL）	YAML 资源声明（无自定义 DSL）	Cedar（基于权限的声明式语言）
输入模型	任意 JSON/YAML 数据	Terraform/Consul/Vault 数据	Kubernetes 资源对象	AWS 资源与请求上下文
决策模式	查询（Query）→ 布尔/JSON	规则（Rule）→ 布尔/错误消息	Webhook 准入控制 → 允许/拒绝/补丁	授权请求 → 允许/拒绝
执行环境	独立进程 / Go SDK / WASM	Terraform Cloud / Enterprise	Kubernetes 集群内	AWS 服务内嵌 / 本地 SDK
版本管理	Bundle 打包 + OPA 版本策略	Sentinel 策略集 + VCS 集成	PolicyReport CRD + GitOps	策略集文件 + 版本化部署
测试框架	Rego 单元测试（内置）	Sentinel 测试（内置）	Kyverno CLI test 命令	Cedar 单元测试（内置）

  选型要点： OPA 是唯一支持跨平台（K8s、CI/CD、API 网关）的策略引擎，适合需要统一策略平面的组织；Kyverno 专为 Kubernetes 设计，学习成本最低；Sentinel 深度绑定 HashiCorp 生态；Cedar 面向 AWS 原生权限管理，适合云原生应用。

2.2 策略引擎架构与集成模式对比

四种引擎在架构设计上存在本质差异，直接影响流水线集成方式。下图展示了各引擎与 CI/CD 流水线的典型集成架构：

2.3 策略语言表达能力与学习曲线

策略语言的设计直接影响团队上手速度和策略可维护性。以下从语言范式、查询能力、错误处理、复用机制四个角度进行对比：

语言特性	Rego	Sentinel	Kyverno (YAML)	Cedar
语言范式	声明式逻辑查询（Datalog 变体）	策略即代码（过程式 + 声明式混合）	声明式资源定义（无编程逻辑）	声明式权限策略
查询能力	强（支持递归、聚合、集合运算）	中（支持循环、条件、函数）	弱（仅支持 match/exclude 模式）	中（支持条件、角色、资源层级）
错误处理	默认拒绝（deny-by-default）	规则返回值 + 错误消息	Webhook 响应 + 审计报告	授权结果 + 诊断信息
复用机制	包（package）+ 模块（module）	导入（import）+ 函数（function）	策略模板（PolicyTemplate）	策略集（policy set）+ 模板
学习曲线	陡峭（逻辑编程思维）	中等（HCL 背景友好）	平缓（YAML 即可）	中等（类 SQL 条件语法）

实践建议： 如果团队已有 Kubernetes 运维经验，Kyverno 是最快上手的方案；如果团队需要跨平台统一策略，OPA 虽然学习曲线陡峭，但长期维护成本更低；Sentinel 适合已深度使用 Terraform Cloud 的组织；Cedar 适合 AWS 原生应用开发团队。

2.4 测试框架与流水线集成能力

策略引擎的测试能力直接影响流水线回滚护栏的可靠性。以下从测试编写方式、Mock 支持、覆盖率报告、CI 集成四个维度进行对比：

测试能力	OPA (Rego)	Sentinel	Kyverno	Cedar
测试编写	Rego 单元测试（.rego + .test.rego）	Sentinel 测试（.sentinel + .test.sentinel）	Kyverno CLI test（YAML 测试用例）	Cedar 单元测试（.cedar + .test.cedar）
Mock 支持	内置 mock 数据（data.mock.*）	Mock 生成器（mock 函数）	资源 YAML 模拟	请求上下文模拟
覆盖率报告	opa test --coverage	sentinel test -cover	kyverno test --coverage	cedar test --coverage
CI 集成	任意 CI（CLI + Docker）	Terraform Cloud API	Kyverno CLI + GitHub Actions	AWS SDK + 本地 CLI

以下是一个 OPA Rego 策略及其对应测试的代码示例，展示 PaC 测试的基本模式：

# policy/deny_untrusted_registry.rego
package kubernetes.validating

import rego.v1

# 禁止使用非信任镜像仓库
deny contains msg if {
    input.request.object.spec.containers[_].image
    not startswith(input.request.object.spec.containers[_].image, "trusted-registry.io/")
    msg := sprintf("容器镜像 %v 必须来自信任仓库 trusted-registry.io", [input.request.object.spec.containers[_].image])
}

# policy/deny_untrusted_registry_test.rego
package kubernetes.validating

import rego.v1

test_deny_untrusted_image if {
    # 模拟一个使用非信任镜像的 Pod
    input := {"request": {"object": {"spec": {"containers": [{"image": "docker.io/nginx:latest"}]}}}}
    deny := deny with input as input
    count(deny) == 1
}

test_allow_trusted_image if {
    # 模拟一个使用信任镜像的 Pod
    input := {"request": {"object": {"spec": {"containers": [{"image": "trusted-registry.io/nginx:1.21"}]}}}}
    deny := deny with input as input
    count(deny) == 0
}

  测试驱动策略开发： 建议在流水线中设置策略测试阶段，每次策略变更必须通过全部单元测试才能合并到主分支。OPA 和 Kyverno 均支持在 CI 中直接运行测试并生成覆盖率报告，作为回滚护栏的准入条件。

2.5 选型决策矩阵与推荐场景

基于以上对比，以下决策矩阵帮助团队根据自身需求快速定位推荐引擎：

需求场景	推荐引擎	理由
跨平台策略统一（K8s + CI/CD + API）	OPA	唯一支持多执行环境、WASM 嵌入、统一策略平面
Kubernetes 原生策略管理	Kyverno	YAML 声明、GitOps 原生、学习成本最低
Terraform 基础设施策略	Sentinel	深度集成 Terraform Cloud，Plan 阶段自动检查
AWS 云原生权限管理	Cedar	AWS 服务内嵌、权限模型原生支持
微服务 API 授权策略	OPA / Cedar	OPA 通用性强，Cedar 与 AWS 服务集成更紧密
CI/CD 流水线安全门禁	OPA	WASM 嵌入、REST API 调用、多语言 SDK

避坑提示： 避免在单一场景中混用多个策略引擎，会导致策略管理碎片化。建议先确定策略平面范围（K8s 仅限、跨平台、云原生），再选择对应引擎。OPA 虽然学习曲线陡峭，但长期来看是唯一能统一多平台策略的成熟方案。

2.6 策略引擎选型总结

四种策略引擎各有明确的适用边界：

OPA (Rego)：适合需要统一策略平面的中大型组织，支持 K8s、CI/CD、API 网关、微服务等多种场景，策略语言强大但学习成本高。
Sentinel：适合已深度使用 HashiCorp 生态（Terraform、Consul、Vault）的团队，策略与基础设施即代码紧密绑定。
Kyverno：适合 Kubernetes 原生团队，YAML 声明式策略零学习成本，GitOps 工作流无缝集成。
Cedar：适合 AWS 云原生应用开发，权限策略模型与 AWS 服务深度集成，适合微服务授权场景。