open-policy-agent - 将我的策略 (policy.rego) bydfault 应用到我的 opa

Question

我正在使用一个名为 concourse 的 ci/cd 应用程序，该应用程序最近集成到 OPA 中。我们的大厅设置在 k8s 中运行。我正在尝试使用以下配置将 opa 作为它推荐的 sidecar 运行。/

边车配置：https ://github.com/concourse/concourse-chart/blob/master/values.yaml#L1530

sidecarContainers:
  - name: opa
    image: openpolicyagent/opa:0.21.0
    args:
      - "run"
      - "--server"

我也想应用一些策略。我的政策文件是 concourse_policy.rego

package concourse

default allow = true
allow = false {
    input.action == "UseImage"
    input.data.privileged == true

我不确定，当 Sidecar 运行时，如何将此策略默认应用于我的 opa。怎么可能。?

Answer 1

您需要将包含您的策略的卷挂载到容器中并启动 OPA 指向它们，或者您可以使用 OPA 的捆绑 API从远程端点检索策略。