Linux 安全：如何用 Rego 编写访问策略 (OPA)-linux运维-PHP中文网

Linux 安全：如何用 Rego 编写访问策略 (OPA)

冷炫風刃

发布： 2025-11-20 20:44:55

原创

465人浏览过

OPA通过Rego语言实现Linux系统访问控制，支持基于用户角色和上下文的细粒度策略管理。示例策略允许root执行所有命令，ops组使用特定命令，并禁止删除根目录；结合shell wrapper或PAM模块集成到系统调用路径，可实现实时权限校验。通过外部数据源动态更新用户权限，利用OPA的热加载机制实现策略无重启生效，提升安全性和运维效率。

linux 安全：如何用 rego 编写访问策略 (opa)

在现代云原生环境中，统一、可扩展的访问控制策略至关重要。Open Policy Agent（OPA）通过使用 Rego 语言实现灵活的策略决策，广泛应用于 Kubernetes、微服务、CI/CD 等场景中的安全控制。本文将介绍如何使用 Rego 编写 Linux 系统相关的访问策略，帮助你在系统层面加强安全防护。

理解 OPA 和 Rego 的基本原理

OPA 是一个通用策略引擎，它不绑定具体平台，而是通过接收输入（input）、读取数据（data）并执行 Rego 策略来返回决策结果。Rego 是一种声明式语言，专为策略编写设计，语法类似逻辑编程语言。

一个典型的策略判断流程包括：

input：表示当前请求上下文，如用户、操作、目标资源等
data：已加载的策略规则和静态数据
result：策略评估后输出的允许/拒绝或其他元信息

例如，在判断是否允许某个用户执行特定命令时，OPA 会结合 input 中的操作信息与 data 中定义的规则进行匹配。

编写 Linux 命令执行访问控制策略

假设你希望限制普通用户运行某些高危命令（如 rm -rf /、shutdown 等），可以通过 Rego 实现基于用户角色或上下文的访问控制。

以下是一个简单示例，定义哪些用户可以执行特定系统命令：

package linux.authz

default allow = false

# 允许 root 用户执行所有命令
allow {
  input.user == "root"
}

# 允许 ops 组成员执行 systemctl 和 journalctl
allow {
  input.user_group == "ops"
  input.action == "execute"
  input.command == "systemctl"
}

allow {
  input.user_group == "ops"
  input.action == "execute"
  input.command == "journalctl"
}

# 明确禁止删除根目录
deny {
  input.command == "rm"
  input.args[_] == "/"
  input.args[_] == "--no-preserve-root"
}

该策略中，只有 root 用户能执行任意命令；ops 组成员只能查看日志或管理系统服务；任何尝试删除根目录的行为都会被阻止。

集成到系统调用或 Shell Hook 中

要在真实 Linux 系统中应用这些策略，需将 OPA 集成进命令执行路径。常见方式包括：

Text Mark

处理文本内容的AI助手

查看详情

在 shell 启动时加载 OPA sidecar，每次执行命令前通过本地 HTTP API 查询决策
使用 sudoers + PAM 模块调用 OPA 进行授权检查
在容器化环境中，由 init 进程先向 OPA 请求许可再执行命令

例如，封装一个脚本 wrapper 来拦截命令执行：

#!/bin/bash
# check_with_opa.sh
USER=$(whoami)
CMD=$1

REQUEST='{"input": {"user": "'$USER'", "action": "execute", "command": "'$CMD'"}}'

RESPONSE=$(curl -s -X POST -d "$REQUEST" http://localhost:8181/v1/data/linux/authz)

if echo "$RESPONSE" | grep -q '"allow":true'; then
  exec $CMD "${@:2}"
else
  echo "拒绝执行：权限不足"
  exit 1
fi

这样就能在关键操作前强制进行策略校验。