OPA通过Rego语言实现Linux系统访问控制，支持基于用户角色和上下文的细粒度策略管理。示例策略允许root执行所有命令，ops组使用特定命令，并禁止删除根目录；结合shell wrapper或PAM模块集成到系统调用路径，可实现实时权限校验。通过外部数据源动态更新用户权限，利用OPA的热加载机制实现策略无重启生效，提升安全性和运维效率。
在现代云原生环境中，统一、可扩展的访问控制策略至关重要。Open Policy Agent（OPA）通过使用 Rego 语言实现灵活的策略决策，广泛应用于 Kubernetes、微服务、CI/CD 等场景中的安全控制。本文将介绍如何使用 Rego 编写 Linux 系统相关的访问策略，帮助你在系统层面加强安全防护。
理解 OPA 和 Rego 的基本原理
OPA 是一个通用策略引擎，它不绑定具体平台，而是通过接收输入（input）、读取数据（data）并执行 Rego 策略来返回决策结果。Rego 是一种声明式语言，专为策略编写设计，语法类似逻辑编程语言。
一个典型的策略判断流程包括：
- input：表示当前请求上下文，如用户、操作、目标资源等
- data：已加载的策略规则和静态数据
- result：策略评估后输出的允许/拒绝或其他元信息
例如，在判断是否允许某个用户执行特定命令时，OPA 会结合 input 中的操作信息与 data 中定义的规则进行匹配。
编写 Linux 命令执行访问控制策略
假设你希望限制普通用户运行某些高危命令（如 rm -rf /、shutdown 等），可以通过 Rego 实现基于用户角色或上下文的访问控制。
以下是一个简单示例，定义哪些用户可以执行特定系统命令：
package linux.authzdefault allow = false
# 允许 root 用户执行所有命令
allow {
input.user == "root"
}
# 允许 ops 组成员执行 systemctl 和 journalctl
allow {
input.user_group == "ops"
input.action == "execute"
input.command == "systemctl"
}
allow {
input.user_group == "ops"
input.action == "execute"
input.command == "journalctl"
}
# 明确禁止删除根目录
deny {
input.command == "rm"
input.args[_] == "/"
input.args[_] == "--no-preserve-root"
}
该策略中，只有 root 用户能执行任意命令；ops 组成员只能查看日志或管理系统服务；任何尝试删除根目录的行为都会被阻止。
集成到系统调用或 Shell Hook 中
要在真实 Linux 系统中应用这些策略，需将 OPA 集成进命令执行路径。常见方式包括：
- 在 shell 启动时加载 OPA sidecar，每次执行命令前通过本地 HTTP API 查询决策
- 使用 sudoers + PAM 模块调用 OPA 进行授权检查
- 在容器化环境中，由 init 进程先向 OPA 请求许可再执行命令
例如，封装一个脚本 wrapper 来拦截命令执行：
#!/bin/bash# check_with_opa.sh
USER=$(whoami)
CMD=$1
REQUEST='{"input": {"user": "'$USER'", "action": "execute", "command": "'$CMD'"}}'
RESPONSE=$(curl -s -X POST -d "$REQUEST" http://localhost:8181/v1/data/linux/authz)
if echo "$RESPONSE" | grep -q '"allow":true'; then
exec $CMD "${@:2}"
else
echo "拒绝执行：权限不足"
exit 1
fi
这样就能在关键操作前强制进行策略校验。
管理策略数据与动态更新
实际生产中，用户组、权限列表可能频繁变化。你可以将这些数据外部化，让 OPA 定期从 HTTP 服务或文件系统拉取最新配置。
比如定义一个数据文件 users.json：
{ "alice": { "group": "admin" }, "bob": { "group": "dev" }, "charlie": { "group": "ops" } }然后在 Rego 中引用：
allow {data.users[input.user].group == "admin"
}
启动 OPA 时使用 --bundle 或配置 discovery 可实现自动热更新，无需重启服务。
基本上就这些。通过合理设计 Rego 规则并将其嵌入系统访问路径，你能有效提升 Linux 环境的安全性，实现细粒度、可审计的访问控制。关键是把策略逻辑从程序代码中解耦出来，做到集中管理和快速响应安全需求变化。
