2. OPA 与 Rego 基础回顾：OPA 架构、Rego 策略语言核心概念、数据模型

2.1 OPA 整体架构与核心组件

Open Policy Agent (OPA) 是一个开源的、通用策略引擎，它将策略决策与业务逻辑解耦。在资源配额监控场景中，OPA 作为决策点，接收来自 Kubernetes API Server 或自定义监控系统的查询，并基于预定义的 Rego 策略返回“允许/拒绝”或“审计警告”等决策。

OPA 的架构遵循“决策请求-策略评估-响应”的闭环模型，核心组件包括：

• 服务端 (OPA Server)：常驻进程，通过 HTTP/gRPC 暴露决策 API。支持热加载策略和数据进行策略更新，无需重启。
• Rego 引擎：OPA 的核心，负责解析、编译和执行 Rego 策略。引擎将策略编译为高效的内部表示，并利用缓存和索引优化查询。
• 数据文档 (Data Document)：OPA 的全局数据源，通常以 JSON 格式注入。在配额监控中，数据文档包含集群资源使用量、节点容量、命名空间配额等实时或近实时的监控数据。
• 输入文档 (Input Document)：每次决策请求时携带的临时数据，例如一个 Pod 的创建请求、一个 Namespace 的当前资源使用快照。
• Bundle 系统：用于将策略和数据打包成压缩包，通过 HTTP 或 OCI 分发到 OPA 实例，实现策略的版本管理和原子更新。

2.2 Rego 策略语言核心概念

Rego 是一种声明式查询语言，专为定义策略而设计。它基于 Datalog 逻辑编程范式，支持丰富的模式匹配、集合操作和聚合函数。以下是 Rego 中必须掌握的核心概念：

在配额监控策略中，最常用的模式是：遍历 Data 文档中的资源列表，聚合计算当前使用量，然后与配额阈值进行比较。例如：

# 检查 Namespace 的 CPU 使用是否超过配额
default cpu_quota_exceeded = false

cpu_quota_exceeded {
    ns := input.namespace
    used_cpu := sum([p.cpu | data.pods[p.namespace == ns].cpu])
    quota := data.quotas[ns].cpu_limit
    used_cpu > quota
}

2.3 OPA 数据模型：分层文档与查询路径

OPA 的数据模型基于分层文档（Hierarchical Documents），所有数据都以 JSON 对象的形式组织在 data 根路径下。理解数据模型是编写高效 Rego 策略的前提。

数据模型的核心特征：

• 全局数据 (Data Document)：挂载在 data 根路径下，可通过 Bundle、API 推送或文件加载注入。例如：data.cluster.nodes、data.namespaces。
• 请求数据 (Input Document)：每次决策请求时传入，挂载在 input 根路径下。例如：input.pod、input.operation。
• 策略模块 (Policy Modules)：Rego 文件本身也作为数据的一部分，可通过 data.package.rule 路径引用其他模块定义的规则。
• 虚拟文档 (Virtual Documents)：由 Rego 规则计算得出的中间结果，可被其他规则引用，形成策略的层级结构。

在编写策略时，应优先使用精确路径查询（如 data.quotas["production"].cpu_limit）而非全量遍历。OPA 引擎对精确路径查询会启用哈希索引，时间复杂度为 O(1)；而对 data.pods[_] 这类通配符遍历则无法使用索引，性能随数据量线性下降。