3. OPA 环境搭建：二进制安装、Docker 部署与 REPL 交互式测试

OPA（Open Policy Agent）作为 Policy as Code 的核心执行引擎，其环境搭建的稳定性与灵活性直接影响后续策略开发与流水线集成的效率。本章将覆盖三种主流部署方式：二进制安装（适用于 CI/CD 代理节点）、Docker 容器化部署（适用于微服务与 Kubernetes 集成）以及 REPL 交互式环境（适用于策略原型设计与调试）。

3.1 二进制安装：轻量级本地部署

二进制安装是 OPA 最直接的部署方式，无需依赖容器运行时，适合在 Jenkins Agent、GitLab Runner 或裸机环境中快速集成。

安装后验证：

chmod 755 ./opa
./opa version
# 预期输出：Version: 0.63.0, Build Commit: ..., Go Version: go1.21.5

3.2 Docker 部署：容器化运行与 REST API 服务

Docker 部署是 OPA 作为独立服务运行的标准方式，支持持久化策略挂载、健康检查以及与 Kubernetes 的 sidecar 模式集成。

基础启动命令：

docker run -d --name opa-server \
  -p 8181:8181 \
  -v $(pwd)/policies:/policies \
  openpolicyagent/opa:0.63.0 \
  run --server --addr :8181 /policies

关键参数说明：

• --server：以 HTTP 服务模式启动，暴露 REST API。
• --addr :8181：监听所有网络接口的 8181 端口。
• /policies：挂载本地策略目录，支持热加载。
• --log-level debug：调试阶段建议开启，便于追踪策略评估日志。

Docker Compose 多服务集成示例：

version: '3.8'
services:
  opa:
    image: openpolicyagent/opa:0.63.0
    ports:
      - "8181:8181"
    volumes:
      - ./policies:/policies
    command: run --server --addr :8181 /policies
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost:8181/health"]
      interval: 10s
      timeout: 5s
      retries: 3

3.3 REPL 交互式测试环境：策略原型与调试

OPA 的 REPL（Read-Eval-Print Loop）环境是策略开发者的核心调试工具，支持逐条输入 Rego 规则、查询数据并即时查看评估结果，极大缩短了“编写-测试-反馈”循环。

启动 REPL：

./opa run

REPL 常用操作：

REPL 调试流程示例：

$ ./opa run
OPA 0.63.0 (commit ..., built at ...)

> package deployment.rollback
> deny[msg] {
    input.change_risk == "high"
    not input.approved_by
    msg := "高风险变更缺少审批人"
}
> input := {"change_risk": "high", "service": "payment-api"}
> data.deployment.rollback.deny
[ "高风险变更缺少审批人" ]
> input := {"change_risk": "high", "service": "payment-api", "approved_by": "sre-lead"}
> data.deployment.rollback.deny
[]

3.4 环境验证清单

完成部署后，建议执行以下验证步骤，确保 OPA 环境可用于流水线集成：

1. 版本确认：./opa version 或 docker exec opa-server opa version。
2. 健康检查：访问 http://localhost:8181/health，预期返回 {"healthy": true}。
3. 策略加载测试：创建测试策略文件 test.rego，通过 REST API 或卷挂载验证策略是否生效。
4. REPL 功能验证：启动 REPL，输入简单规则并查询，确认无语法错误。
5. 性能基准（可选）：使用 opa bench 命令对核心策略进行基准测试，记录基线耗时。