48、Open Policy Agent：安全保护、策略定义与外部数据处理

Open Policy Agent：安全保护、策略定义与外部数据处理

1. 用 mTLS 保护 OPA 服务器

OPA 通常与需要授权决策的微服务运行在同一服务器上，微服务与 OPA 之间的通信默认限制在本地主机，这是第一层防御。OPA 是策略管理点（PAP）中编写并记录在策略存储中的相关策略的本地缓存，它通常可以独立做出决策，无需与其他服务器通信，这使得决策具有高可用性和高性能。不过，OPA 建议采用纵深防御，并通过 mTLS 确保其与微服务或其他客户端之间的通信安全。

要使用 mTLS 保护 OPA 服务器，需要完成以下任务：
- 为 OPA 服务器生成公钥/私钥对
- 为 OPA 客户端生成公钥/私钥对
- 为证书颁发机构（CA）生成公钥/私钥对
- 用 CA 的私钥签署 OPA 服务器的公钥，生成 OPA 服务器的公共证书
- 用 CA 的私钥签署 OPA 客户端的公钥，生成 OPA 客户端的公共证书

可以使用 appendix-f/sample01/keys/gen-key.sh 脚本结合 OpenSSL 来完成这些任务，具体操作步骤如下：
1. 从 appendix-f/sample01/keys 目录运行以下 Docker 命令，启动一个 OpenSSL Docker 容器：

docker run -it -v $(pwd):/export prabath/openssl

此命令将主机文件系统的当前位置（即 append