OPA 作為雲原生環境下的政策引擎，提供 opa eval 和 opa exec 兩種評估工具，分別適用於簡單評估和進階組態。opa exec 支援組態檔案，可實作更彈性的策略管理，兩者皆傳回 JSON 格式結果，便於自動化整合。Rego 語言作為 OPA 的核心，採用宣告式語法，透過規則和函式定義策略邏輯。理解 Rego 的資料模型、邏輯運算和內建函式，是有效運用 OPA 的關鍵。
OPA 政策評估工具詳解
OPA（Open Policy Agent）提供了多種命令列工具來評估和管理政策，其中包括 eval 和 exec 兩個子命令。本文將探討這兩個工具的使用方法和應用場景。
OPA eval：簡單高效的政策評估工具
opa eval 是一個用於評估 Rego 查詢並列印結果的命令列子命令。它非常適合在 bash 指令碼和自動化步驟中使用，以便在執行時對資料應用政策並傳回機器可讀的結果。
使用範例
假設我們有一個名為 helloworld.json 的輸入檔案和一個名為 helloworld.rego 的 Rego 政策檔案，我們可以使用以下命令來評估政策：
$ opa eval -i helloworld.json -d helloworld.rego "data.examples.ch2.hello"
{
"result": [
{
"expressions": [
{
"value": true,
"text": "data.examples.ch2.hello",
"location": {
"row": 1,
"col": 1
}
}
]
}
]
}
在這個命令中，-i 引數指定了輸入檔案，-d 引數指定了政策和/或其他資料。-d 引數可以重複使用。
Docker 容器中的 OPA eval
我們也可以在 Docker 容器中執行 OPA eval，只需使用以下命令：
$ docker run -it --rm -v $(pwd):/helloworld --platform linux/amd64 \
openpolicyagent/opa:0.62.1 eval -i helloworld/helloworld.json \
-d helloworld/helloworld.rego "data.examples.ch2.hello"
OPA exec：更強大的政策評估工具
opa exec 是另一個命令列子命令，於 2021 年底新增到 OPA 中。它可以被視為 opa eval 的繼任者。與 eval 類別似，exec 也是一種「一次性」使用 OPA 的方法，傳回 JSON 結果，適合自動化使用。然而，exec 支援一些 eval 不支援的高階功能，例如 OPA 組態檔案。使用組態檔案，可以組態 OPA 的高階功能，例如提取遠端 bundle 和將決策日誌傳送到遠端端點。
使用範例
假設我們有一個名為 helloworld.json 的輸入檔案和一個名為 bundle.tar.gz 的 OPA bundle 檔案，我們可以使用以下命令來評估政策：
$ opa exec ./helloworld.json --decision examples/ch2/hello -b ./bundle.tar.gz
{
"result": [
{
"path": "./helloworld.json",
"result": true
}
]
}
Docker 容器中的 OPA exec
同樣地，我們也可以在 Docker 容器中執行 OPA exec：
$ docker run -it --rm -v $(pwd):/helloworld --platform linux/amd64 \
openpolicyagent/opa:0.62.1 exec helloworld/helloworld.json --decision \
examples/ch2/hello -b helloworld/bundle.tar.gz
Rego 政策語言簡介
Rego 是 OPA 的宣告式斷言語言，用於對結構化資料進行推理和斷言。在本文中，我們將介紹 Rego 的基礎知識。
OPA 檔案模型
在開始使用 Rego 之前，我們需要了解 OPA 的檔案模型。OPA 將資料建模為兩種型別的檔案：基礎檔案和虛擬檔案。基礎檔案是從外部來源載入到 OPA 中的資料，而虛擬檔案是由 OPA 建立的資料，例如政策決策。
基礎檔案被放置在兩個全域性變數中，分別是 data 和 input。透過 HTTP PUT 請求或 bundle 載入的資料被放置在 data 全域性變數中，而透過 HTTP POST 請求載入的資料被放置在 input 全域性變數中。
Rego 語法和邏輯結構
Rego 使用點符號（dot notation）來參照資料。例如，data.projects 將參照 data 全域性變數中的 projects 欄位。
# helloworld.rego
package examples.ch2
default hello = false
hello {
input.message == "hello"
}
在這個例子中，我們定義了一個名為 hello 的規則，該規則根據輸入資料中的 message 欄位進行判斷。
內容解密：
OPA 提供兩種主要工具用於評估政策：opa eval 和 opa exec。兩者皆能傳回 JSON 結果，但 opa exec 提供更多進階功能，如使用 OPA 組態檔案。Rego 語言則是用於定義政策的宣告式語言，能夠對結構化資料進行複雜的判斷。
隨著雲原生技術和微服務架構的普及，政策管理變得越來越重要。未來，我們可以預期 OPA 和 Rego 將繼續發展，提供更多功能和更好的效能，以滿足日益增長的政策管理需求。
參考資料
graph LR;
A[OPA] --> B[opa eval];
A --> C[opa exec];
B --> D[簡單評估];
C --> E[進階評估];
D --> F[適合自動化];
E --> G[支援組態檔案];
F --> H[傳回JSON結果];
G --> I[更靈活的政策管理];
圖表翻譯：
此圖示展示了 OPA 的兩個主要命令列工具：opa eval 和 opa exec。兩者皆用於評估政策，但 opa exec 提供更多進階功能，如支援組態檔案，從而實作更靈活的政策管理。圖中清晰地展示了這兩個工具的功能和特點，以及它們在政策管理中的應用。
Rego 語法與邏輯解析
Rego 語言作為 Open Policy Agent（OPA）的主要策略語言，其語法和行為與傳統的命令式語言（如 C 和 Java）存在顯著差異。本文將探討 Rego 的核心概念，包括規則（Rules）、函式（Functions）及其內建函式，並透過例項演示其應用。
規則（Rules）：虛擬檔案的基礎
在 OPA 的檔案模型中，規則定義了虛擬檔案的內容。策略由多個規則組成，而規則內部包含表示式。OPA 透過繫結變數使得規則內的所有表示式均為真，從而產生虛擬檔案。
簡單規則示例
package examples.ch2
default hello := false
hello := "world" {
msg := input.message
msg == "world"
}
上述規則定義了一個名為 hello 的規則，預設值為 false。當輸入的 message 欄位值為 "world" 時，規則評估為真，並傳回 "world"。
規則結構解析
- 預設值：
default hello := false定義了規則的預設傳回值。 - 規則頭：
hello := "world"指定了規則的名稱及真值時的傳回值。 - 規則體：包含多個表示式，這些表示式之間是邏輯與（AND）的關係。
邏輯運算
- 邏輯與（AND）：規則體中的所有表示式必須為真，規則才會評估為真。
- 邏輯或（OR）：透過定義多個同名規則實作邏輯或的效果。
hello if {
msg := input.message
msg == "world"
from := input.from
from == "jimmy"
}
hello if {
msg := input.message
msg == "me"
from := input.from
from == "jimmy"
}
在上述範例中，當輸入滿足任一規則時，hello 規則評估為真。
函式（Functions）：提高程式碼復用性
Rego 中的函式允許開發者遵循「Don’t Repeat Yourself」（DRY）原則，減少程式碼重複並提高模組化程度。
簡單函式示例
package examples.ch2
import future.keywords.in
default hello := ""
hello := output {
input.method == "POST"
input.message in {"world", "planet"}
output := build_return_msg("Hello", input.from)
}
build_return_msg(msg, from) := result {
result := sprintf("%s, %s", [msg, from])
}
上述範例中，build_return_msg 函式根據輸入引數構建傳回訊息。
函式特性
- 引數傳遞：函式接受引數，避免直接使用全域性變數，提高程式碼清晰度。
- 傳回值：函式可以傳回任意型別的值，包括字串、物件等。
- 多載：可定義多個同名函式實作不同的邏輯。
內建函式（Built-in Functions）
Rego 提供豐富的內建函式，涵蓋聚合運算、字串處理等多個領域。例如：
- 聚合函式：
count、sum、min、max - 字串函式：
sprintf
{
"nums": [0,1,2,3,4,5]
}
count(input.nums) # 結果：6
sum(input.nums) # 結果：15
sprintf("%s, %s", ["Hello", "world"]) # 結果："Hello, world"
實際應用場景與最佳實踐
- 策略定義：利用 Rego 定義複雜的策略邏輯，如存取控制、資料驗證等。
- 模組化設計：透過函式實作策略的模組化，提高可維護性。
- 內建函式應用：善用內建函式簡化程式碼，提升效率。
內容解密：
上述文章全面介紹了 Rego 語言的核心概念和應用技巧，包括規則定義、邏輯運算、函式使用及內建函式等。透過具體範例展示瞭如何在 OPA 中利用 Rego 編寫高效的策略邏輯，並強調了模組化設計和最佳實踐的重要性。
隨著雲原生技術的不斷演進，Rego 語言及其在 OPA 中的應用將持續擴充套件，為策略管理提供更強大的支援。未來可期待更多針對特定場景的最佳實踐和工具鏈最佳化，以進一步簡化開發流程並提升策略執行的效率。
Rego 政策語言內建函式與進階應用
Rego 語言提供了豐富的內建函式，使得策略編寫更加靈活和高效。本章將探討 Rego 的內建函式、複合變數資料型別、以及如何撰寫和測試 Rego 策略。
使用內建函式增強 Rego 表達能力
Rego 提供了多種內建函式，用於簡化策略邏輯並提升使用者經驗。以下示例展示瞭如何使用 sprintf 函式格式化輸出訊息：
msg := sprintf("給定陣列 %v，數量為 %v，總和為 %v，乘積為 %v，最小值為 %v，最大值為 %v。",
[input.nums, count(input.nums), sum(input.nums), product(input.nums), min(input.nums), max(input.nums)])
內容解密：
sprintf函式：用於格式化字串，類別似於 C 語言中的sprintf。input.nums：假設輸入資料中包含一個名為nums的陣列。- 各種數學運算函式：
count(input.nums)：計算陣列元素數量。sum(input.nums)：計算陣列元素總和。product(input.nums)：計算陣列元素的乘積。min(input.nums)：找出陣列中的最小值。max(input.nums)：找出陣列中的最大值。
輸出範例：
{
"msg": "給定陣列 [0, 1, 2, 3, 4, 5]，數量為 6，總和為 15，乘積為 0，最小值為 0，最大值為 5。"
}
複合變數資料型別
Rego 支援多種複合資料型別，包括物件（Objects）、集合（Sets）和陣列（Arrays）。
物件（Objects）
物件是一種無序的鍵值對集合，類別似於其他語言中的 Map 或 Dictionary。
animals := {"a": "deer", "b": "moose", "c": "bear"}
內容解密：
- 鍵值對：每個鍵對應一個值，鍵必須唯一。
- 無序性：物件中的鍵值對順序不固定。
陣列（Arrays）
Rego 中的陣列可以包含多種不同型別的元素。
stuff := [1, "hello", null, {"a": "b"}]
內容解密：
- 多型別支援：陣列中可以混合存放整數、字串、物件等不同型別的資料。
- 靈活性：這種特性使得陣列在處理複雜資料結構時非常有用。
集合（Sets）
集合是一種儲存唯一值的無序集合。
material := {"metal", "wood", "cloth"}
內容解密：
- 唯一性：集合中的元素不允許重複。
- 無序性：集合中的元素順序不固定。
使用 Comprehensions 建立複合資料型別
Comprehensions 是 Rego 中用於建立複合資料型別的重要工具。
將陣列轉換為集合
m := ["metal", "wood", "cloth", "metal"]
u := {z | z = m[_]}
內容解密：
m[_]語法：用於遍歷陣列m中的每個元素。- 集合推導式：將陣列
m中的重複元素轉換為一個包含唯一元素的集合u。
輸出結果：
{
"u": [
"cloth",
"metal",
"wood"
]
}
統一運算元（Unification）與指定、比較運算元的區別
Rego 中有多種運算元，用於不同的目的。
指定運算元（:=）
用於變數的初始指定，且每個變數只能被指定一次。
x := 1
比較運算元（==）
用於比較兩個值是否相等。
x == 1
統一運算元（=）
結合了指定和比較的功能，用於尋找使條件成立的變數值。
package examples.ch2
default allow := false
allow {
some person
input.path = ["users", person]
input.method == "GET"
person == input.user_id
}
內容解密：
some person：宣告一個名為person的變數。input.path = ["users", person]：使用統一運算元，將person與input.path的第二個元素進行匹配。person == input.user_id：檢查person是否等於input.user_id。
輸入範例：
{
"user_id": "jimmy",
"method": "GET",
"path": ["users", "jimmy"]
}
輸出結果：
{
"allow": true
}
編寫與測試 Rego 策略
Rego 策略可以使用多種工具進行編寫和測試，包括 Rego Playground、REPL 和 OPA VS Code 擴充套件。
使用 OPA CLI 進行語法檢查
$ opa fmt helloworld.rego
若有語法錯誤，將會輸出錯誤訊息，例如：
failed to format Rego source file: 1 error occurred: helloworld.rego:9: rego_parse_error: unexpected eq token
msg === "world"
^
編寫單元測試
Rego 支援使用 OPA CLI 進行單元測試，測試檔案通常以 _test.rego 結尾。
範例策略：
package examples.ch2
import rego.v1
default hello := false
hello if {
msg := input.message
msg == "world"
}
對應的測試檔案：
package examples.ch2_test
import data.examples.ch2
test_hello {
hello with input as {"message": "world"}
}
