Open Policy Agent
Что это?
OPA (Open Policy Agent) — это открытый движок политик общего назначения, который позволяет единообразно применять политики — например, «может ли пользователь X выполнить действие Y над ресурсом Z?» — во всей вашей инфраструктуре с помощью декларативного языка политик Rego.
OPA (Open Policy Agent) — это открытый движок политик общего назначения, который позволяет единообразно применять политики — например, «может ли пользователь X выполнить действие Y над ресурсом Z?» — во всей вашей инфраструктуре с помощью декларативного языка политик Rego.Это библиотека, которую я встраиваю, или отдельный сервер, к которому я обращаюсь?И то, и другое: OPA можно запустить как отдельный CLI/сервер, к которому ваши сервисы обращаются через REST API, или встроить напрямую через Go SDK/API, если ваш сервис написан на Go.
И то, и другое: OPA можно запустить как отдельный CLI/сервер, к которому ваши сервисы обращаются через REST API, или встроить напрямую через Go SDK/API, если ваш сервис написан на Go.Как мне начать работу с OPA?Попробуйте Rego в браузере в Rego Playground, установите расширение для VS Code для локального редактирования или следуйте документации 'Running OPA', чтобы запустить CLI; образы контейнеров есть на Docker Hub, бинарные файлы — в релизах на GitHub.
Попробуйте Rego в браузере в Rego Playground, установите расширение для VS Code для локального редактирования или следуйте документации 'Running OPA', чтобы запустить CLI; образы контейнеров есть на Docker Hub, бинарные файлы — в релизах на GitHub.Мне нужно писать собственные правила или в комплекте есть готовые встроенные политики?Правила вы пишете сами на Rego и предоставляете данные; в OPA нет встроенной логики политик «из коробки».
Правила вы пишете сами на Rego и предоставляете данные; в OPA нет встроенной логики политик «из коробки».С какой ловушкой интеграции мне стоит ожидать столкнуться?OPA ничего не применяет автоматически: ваш сервис нужно доработать так, чтобы он запрашивал OPA и затем действовал в соответствии с решением «разрешить/запретить», которое тот возвращает. Это значит, что для каждой системы (Kubernetes, Terraform, Docker, SSH и т. д.) интеграцию нужно делать самостоятельно.
OPA ничего не применяет автоматически: ваш сервис нужно доработать так, чтобы он запрашивал OPA и затем действовал в соответствии с решением «разрешить/запретить», которое тот возвращает. Это значит, что для каждой системы (Kubernetes, Terraform, Docker, SSH и т. д.) интеграцию нужно делать самостоятельно.Кто обычно это использует?Инженеры платформ и безопасности, которые внедряют средства авторизации и контроля соответствия требованиям в облачно-нативные системы; это проект CNCF на стадии graduated, который используют в продакшене многие организации.
Инженеры платформ и безопасности, которые внедряют средства авторизации и контроля соответствия требованиям в облачно-нативные системы; это проект CNCF на стадии graduated, который используют в продакшене многие организации.OPA привязан к Kubernetes или его можно использовать где угодно?OPA — инструмент общего назначения, он интегрируется со многими системами помимо Kubernetes, включая Terraform, Docker и SSH.
OPA — инструмент общего назначения, он интегрируется со многими системами помимо Kubernetes, включая Terraform, Docker и SSH.Что такое Rego?Rego — это высокоуровневый декларативный язык политик OPA, на котором пишутся правила, по которым OPA принимает решения «разрешить/запретить».
Rego — это высокоуровневый декларативный язык политик OPA, на котором пишутся правила, по которым OPA принимает решения «разрешить/запретить».Проходил ли OPA аудит безопасности?Да, аудит безопасности провела сторонняя компания Cure53, полный отчёт опубликован; сообщить об уязвимостях можно по электронной почте команде безопасности OPA.
Да, аудит безопасности провела сторонняя компания Cure53, полный отчёт опубликован; сообщить об уязвимостях можно по электронной почте команде безопасности OPA.Какие вопросы помогает решать OPA?Вопросы о политиках: может ли пользователь вызвать определённую операцию над ресурсом, в какие кластеры должна развёртываться нагрузка или какие теги обязательны у ресурса перед его созданием.
Вопросы о политиках: может ли пользователь вызвать определённую операцию над ресурсом, в какие кластеры должна развёртываться нагрузка или какие теги обязательны у ресурса перед его созданием.What are similar projects?meshery, apisix, encore, microservices-demo, istio, linkerd2, agent-safe-pipeline, hydra
meshery, apisix, encore, microservices-demo, istio, linkerd2, agent-safe-pipeline, hydraWhich topics is it in?authorization, declarative, compliance, terraform, cloud-native, microservices, json, kubernetes, rest-api, devops, go, security
authorization, declarative, compliance, terraform, cloud-native, microservices, json, kubernetes, rest-api, devops, go, security