Open Policy Agent（開(kāi)放政策代理，OPA）是一個(gè)開(kāi)源的、通用的策略引擎，它支持跨整個(gè)堆棧執(zhí)行統(tǒng)一的、上下文感知的策略。該項(xiàng)目于 2018 年 4 月進(jìn)入 CNCF 沙箱，一年后進(jìn)入孵化階段。來(lái)自大約 30 個(gè)組織的 90 多名人員為 OPA 貢獻(xiàn)力量，維護(hù)者來(lái)自四個(gè)組織，包括谷歌、微軟、VMware 和 Styra。

?

OPA 提供了一種高級(jí)聲明性語(yǔ)言來(lái)在整個(gè)堆棧中編寫(xiě)和實(shí)施策略。

使用 OPA，你可以定義 rules?來(lái)管理你的系統(tǒng)應(yīng)該如何運(yùn)作。這些 rules 的存在是為了回答以下問(wèn)題：

• 用戶(hù) X 可以調(diào)用資源 Z 上的操作 Y 嗎？
• 應(yīng)將工作負(fù)載 W 部署到哪些群集？
• 在創(chuàng)建資源 R之 前，必須在資源 R 上設(shè)置哪些標(biāo)簽？

你將服務(wù)與 OPA 集成，這樣這些政策決定就不必在你的服務(wù)中硬編碼。服務(wù)與 OPA 的集成是通過(guò)在需要政策決定時(shí)執(zhí)行查詢(xún)來(lái)實(shí)現(xiàn)的。

當(dāng)你向 OPA 查詢(xún)策略決策時(shí)，OPA 會(huì)評(píng)估 rules?和 data（由你提供）以得出答案。該策略決策作為查詢(xún)結(jié)果發(fā)送回去。

例如，在一個(gè)簡(jiǎn)單的 API 授權(quán)用例中：

• 你編寫(xiě)允許（或拒絕）訪(fǎng)問(wèn)服務(wù) API 的規(guī)則。
• 你的服務(wù)在收到 API 請(qǐng)求時(shí)會(huì)查詢(xún) OPA。
• OPA returns 允許（或拒絕）你的服務(wù)決策。
• 你的服務(wù)通過(guò)相應(yīng)地接受或拒絕請(qǐng)求來(lái)執(zhí)行決策。