在ASM中使用OPA定义细粒度访问控制

步骤一：启用OPA插件

1. 登录ASM控制台。

2. 在左侧导航栏，选择服务网格 > 网格管理。

3. 在网格管理页面，找到待配置的实例，单击实例的名称或在操作列中单击管理。

4. 在基本信息页面单击右上角的功能设置。

5. 在功能设置更新页面中选中启用OPA插件。

6. 单击确定。

   在基本信息页面可以看到OPA插件的状态变为开启。

步骤二：部署OPA配置项

部署业务Pod之前，需要部署OPA配置文件和OPA策略的配置项Configmap。

1. 通过kubectl连接到ASM实例中新添加的ACK集群，执行以下命令，部署OPA配置文件。

   kubectl apply -n {替换成实际的namespace} -f - <<EOF
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: opa-istio-config
   data:
     config.yaml: |
       plugins:
         envoy_ext_authz_grpc:
           addr: :9191
           path: istio/authz/allow
   EOF        

2. 通过kubectl连接到ASM实例中新添加的ACK集群，执行以下命令，部署OPA策略。

   kubectl apply -n {替换成实际的namespace} -f - <<EOF
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: opa-policy
   data:
     policy.rego: |  ###以下为示例策略定义，需要替换成实际的策略定义。
       package istio.authz
       import input.attributes.request.http as http_request
       default allow = false
       allow {
           roles_for_user[r]
           required_roles[r]
       }
       roles_for_user[r] {
           r := user_roles[user_name][_]
       }
       required_roles[r] {
           perm := role_perms[r][_]
           perm.method = http_request.method
           perm.path = http_request.path
       }
       user_name = parsed {
           [_, encoded] := split(http_request.headers.authorization, " ")
           [parsed, _] := split(base64url.decode(encoded), ":")
       }
       user_roles = {
           "guest1": ["guest"],
           "admin1": ["admin"]
       }
       role_perms = {
           "guest": [
               {"method": "GET",  "path": "/productpage"},
           ],
           "admin": [
               {"method": "GET",  "path": "/productpage"},
               {"method": "GET",  "path": "/api/v1/products"},
           ],
       }
   EOF        

   • user_roles：为用户授予角色权限。本例设置guest1拥有guest角色权限，admin1拥有admin角色权限。

   • role_perms：设置角色拥有的权限。本文设置guest角色可以通过/productpage访问应用，admin角色可以通过/productpage和/api/v1/products访问应用。

步骤三：注入OPA代理

部署示例应用Bookinfo到ASM实例，确认每个POD都注入了OPA代理。

1. 部署示例应用Bookinfo到ASM实例，请参见部署应用到ASM实例。

2. 定义相应的Istio虚拟服务和入口网关，请参见使用Istio资源实现版本流量路由。

3. 检查每个应用是否都注入OPA代理。

   1. 登录容器服务管理控制台。
   2. 在控制台左侧导航栏，单击集群。
   3. 在集群列表页面，单击目标集群名称或者目标集群右侧操作列下的详情。
   4. 在集群管理页左侧导航栏，选择工作负载 > 容器组。

   5. 在容器组页面，从命名空间下拉列表中选择default，单击目标应用容器组的名称。

      在容器页签下可以看到容器被注入了Sidecar代理（istio-proxy）和OPA代理（opa-istio）。依次检查每个应用的容器，确保每个容器都被注入了Sidecar代理和OPA代理。