Linux 安全：如何使用 Rego 编写策略规则 (OPA)-linux运维-PHP中文网

Linux 安全：如何使用 Rego 编写策略规则 (OPA)

冰川箭仙

发布： 2025-11-19 22:12:48

原创

945人浏览过

OPA通过Rego语言实现Linux系统策略控制，支持用户权限、环境上下文等细粒度规则。1. Rego基于input、data输出决策，采用默认拒绝原则；2. 可编写如管理员执行shutdown、限制rm命令路径等权限策略；3. 结合time、matches等内置函数实现时间窗口与IP段访问控制；4. 通过PAM、HTTP API或Go SDK集成到SSH、sudo等服务中，动态加载策略确保安全可扩展。

linux 安全：如何使用 rego 编写策略规则 (opa)

在现代云原生环境中，统一、可扩展的策略控制至关重要。Open Policy Agent（OPA）通过使用 Rego 这种声明式语言，为 Linux 系统、Kubernetes、API 网关等提供集中化的策略决策能力。本文聚焦于如何在 Linux 安全场景中使用 Rego 编写实用的策略规则。

理解 Rego 与 OPA 的基本结构

Rego 是一种专为策略设计的语言，语法接近 JSONPath 和 SQL 的结合体，运行在 OPA 引擎中。OPA 接收输入数据（input）、访问已有数据（data），输出布尔值或详细响应。

一个基本策略结构如下：

package system.authz

default allow = false

allow {
input.user == "root"
input.action == "login"
}

上述策略表示：仅当用户是 root 且操作是 login 时允许请求。默认拒绝确保安全默认值。

编写 Linux 用户权限控制策略

你可以用 OPA 拦截系统级调用（如通过 PAM 集成或自定义守护进程），判断是否允许特定用户执行操作。

示例：限制只有特定组成员才能执行敏感命令。

package linux.privilege

# 假设 input 包含 user 和 command
default can_execute = false

can_execute {
  input.command == "shutdown"
  is_admin(input.user)
}

can_execute {
  input.command == "rm"
  startswith(input.args[0], "/tmp/")
}

is_admin(user) {
  admin_users[user]
}

admin_users = {"alice", "bob", "root"}

该策略允许管理员执行 shutdown，普通用户只能删除 /tmp/ 下的文件。startswith 函数用于路径前缀判断，避免误删关键目录。

基于环境上下文的动态策略

真实场景中，策略需依赖时间、IP、系统状态等上下文。Rego 支持通过 built-in functions 获取这些信息。

Dreamhouse AI

AI室内设计，快速重新设计你的家，虚拟布置家具

查看详情

示例：禁止夜间以外的 root 登录。

package linux.access

default allow_root_login = false

allow_root_login {
  input.user == "root"
  input.src_ip matches "^192\.168\."
  time := time.now_ns() / 1000000000
  hour := time.weekday_hour()
  hour >= 8
  hour <= 18
}

这里使用了 time.now_ns() 和 weekday_hour() 判断当前小时。matches 实现 IP 段匹配。这种策略可用于 SSH 登录前置检查。