Open Policy Agent（開放政策代理，OPA）是一個開源的、通用的策略引擎，它支持跨整個堆棧執(zhí)行統(tǒng)一的、上下文感知的策略。該項(xiàng)目于 2018 年 4 月進(jìn)入 CNCF 沙箱，一年后進(jìn)入孵化階段。來自大約 30 個組織的 90 多名人員為 OPA 貢獻(xiàn)力量，維護(hù)者來自四個組織，包括谷歌、微軟、VMware 和 Styra。

?

OPA 提供了一種高級聲明性語言來在整個堆棧中編寫和實(shí)施策略。

使用 OPA，你可以定義 rules?來管理你的系統(tǒng)應(yīng)該如何運(yùn)作。這些 rules 的存在是為了回答以下問題：

• 用戶 X 可以調(diào)用資源 Z 上的操作 Y 嗎？
• 應(yīng)將工作負(fù)載 W 部署到哪些群集？
• 在創(chuàng)建資源 R之 前，必須在資源 R 上設(shè)置哪些標(biāo)簽？

你將服務(wù)與 OPA 集成，這樣這些政策決定就不必在你的服務(wù)中硬編碼。服務(wù)與 OPA 的集成是通過在需要政策決定時執(zhí)行查詢來實(shí)現(xiàn)的。

當(dāng)你向 OPA 查詢策略決策時，OPA 會評估 rules?和 data（由你提供）以得出答案。該策略決策作為查詢結(jié)果發(fā)送回去。

例如，在一個簡單的 API 授權(quán)用例中：

• 你編寫允許（或拒絕）訪問服務(wù) API 的規(guī)則。
• 你的服務(wù)在收到 API 請求時會查詢 OPA。
• OPA returns 允許（或拒絕）你的服務(wù)決策。
• 你的服務(wù)通過相應(yīng)地接受或拒絕請求來執(zhí)行決策。