2. 策略编排基础概念：规则、条件、动作、策略集、策略链

策略编排的核心在于将离散的安全或业务逻辑，通过标准化的构件组合成可执行的自动化流程。本章将深入剖析构成策略编排的五大基础概念：规则、条件、动作、策略集与策略链，并阐明它们之间的层级关系与协作机制。

2.1 核心概念定义

在策略编排体系中，每个概念都承担着明确的职责。下表从定义、粒度与典型场景三个维度进行对比：

概念	定义	粒度	典型场景
规则 (Rule)	一条完整的“如果…那么…”逻辑单元，包含条件与动作。	最细粒度	“如果源IP为内网，则允许访问数据库”
条件 (Condition)	规则中的判断部分，定义触发动作所需满足的约束。	规则内部	“源IP == 10.0.0.0/8” 或 “请求时间在 09:00-18:00”
动作 (Action)	规则中的执行部分，当条件满足时执行的具体操作。	规则内部	“允许 (Allow)”、“拒绝 (Deny)”、“记录日志 (Log)”
策略集 (Policy Set)	一组具有相同优先级或应用范围的规则的集合。	中等粒度	“所有入站流量规则”、“生产环境安全策略”
策略链 (Policy Chain)	按顺序排列的策略集或规则的执行序列，形成完整的处理管道。	最粗粒度	“入站 → 出站 → 审计” 的完整处理流程

2.2 概念关系与层级结构

这五个概念并非孤立存在，而是构成了一种从微观到宏观的嵌套与串联关系。下图展示了它们之间的标准层级结构：

2.3 规则：原子级逻辑单元

规则是策略编排中最基本的执行单元。一条规则必须包含一个条件和一个动作。当条件评估为真时，关联的动作将被触发执行。

规则的标准结构如下：

Rule <规则名称> {
    Condition: <布尔表达式>
    Action: <执行操作>
    [Metadata: <元数据>]  // 可选，用于描述、标签等
}

2.4 条件与动作：规则的内部构件

条件是规则的判断引擎，它评估输入数据（如网络包、API请求、系统状态）是否满足预设的约束。条件可以是简单的等式，也可以是复杂的逻辑组合。

动作是规则的执行终端，定义了当条件满足时系统应执行的具体操作。常见的动作类型包括：

• 允许/拒绝 (Allow/Deny)： 控制访问权限。
• 转发 (Forward)： 将流量或请求导向特定目标。
• 记录日志 (Log)： 将事件信息写入日志系统。
• 触发告警 (Alert)： 向监控系统发送告警通知。
• 修改请求/响应 (Modify)： 对数据包或消息内容进行变换。

2.5 策略集：规则的逻辑分组

策略集将具有相同优先级、应用范围或业务意图的规则组织在一起。策略集本身可以包含执行模式（如“首次匹配”或“全部匹配”），决定了内部规则的评估顺序。

执行模式	描述	适用场景
首次匹配 (First-Match)	按顺序评估规则，一旦条件满足，执行对应动作并停止后续规则评估。	防火墙规则、访问控制列表 (ACL)
全部匹配 (All-Match)	评估所有规则，所有条件满足的规则都会执行其动作。	审计策略、日志收集、数据标记

2.6 策略链：完整的执行管道

策略链定义了策略集之间的执行顺序。它类似于一个处理管道，数据或请求依次流经链中的每个策略集。策略链的编排决定了整体策略的生效流程。

下图展示了一个典型的网络流量处理策略链：

2.7 概念关系总结

为了帮助记忆，可以将这五个概念类比为编程中的不同层级：

• 条件 相当于 if 语句中的判断表达式。
• 动作 相当于 if 语句中的执行体。
• 规则 相当于一个完整的 if-then 语句。
• 策略集 相当于一个函数或模块，包含多条语句。
• 策略链 相当于主程序或工作流，按顺序调用多个函数。