【認證與授權 - Open Policy Agent】關於策略語言Rego

簡介

為什麼要使用Rego語法？

• 以宣告式寫法精簡程式碼，什麼是宣告式呢？ 請參考「【程式設計基礎知識】宣告式 V.S 指令式」。
• 不需要太複雜的邏輯， 只需要制定授權的策略即可。
• Data的描述以JSON形式表達。
• OPA根據Rego的表達規則進行索引運算， 提升效能， 詳細的演算法內容請參考： https://blog.openpolicyagent.org/optimizing-opa-rule-indexing-59f03f17caf3。
• 對於制定的策略可以進行單元測試。
• 可以進行Benchmark，優化我們的策略判斷。

初步認識一下Rego

語法結構

• 相同的規則檢查名稱， 其中一組符合就通過檢查。
• 規則檢查區塊中的每一條表達式都是And的關係。

default 規則檢查名稱 = 預設值

規則檢查名稱 {
		表達式
		表達式
		...
}

規則檢查名稱 {
		...
}

預設規則的回傳值

default allow = false

allow {
    x := 42
    y := 41
    x < y
}

// return false

allow {
    x := 42
    y := 41
    x < y
}

// return undefine

多條表達式之間都是And關係， 順序性影響不大

t2 {
    x := 42
    y := 41
    x > y
}
expression-1 AND expression-2 AND ... AND expression-N

t2 {
    x > y
		x = 42
		y = 41
}

否定語句使用 not 關鍵字

t {
    greeting := "hello"
    not greeting == "goodbye"
}

// reult true

Function結構

<function_name>(<params>...) = <return_value_variable> { 
		<expression-N>...
}
trim_and_split(s) = x {
     t := trim(s, " ")
     x := split(t, ".")
}

Else關鍵字

authorize = "allow" {
    input.user == "superuser"           # allow 'superuser' to perform any operation.
} else = "deny" {
    input.path[0] == "admin"            # disallow 'admin' operations...
    input.source_network == "external"  # from external networks.
} # ... more rules

結語