步驟一：啟用OPA插件

1. 登錄ASM控制臺。

2. 在左側(cè)導(dǎo)航欄，選擇服務(wù)網(wǎng)格 > 網(wǎng)格管理。

3. 在網(wǎng)格管理頁面，找到待配置的實例，單擊實例的名稱或在操作列中單擊管理。

4. 在基本信息頁面單擊右上角的功能設(shè)置。

5. 在功能設(shè)置更新頁面中選中啟用OPA插件。

6. 單擊確定。

   在基本信息頁面可以看到OPA插件的狀態(tài)變?yōu)?b data-tag="uicontrol" id="uicontrol-2ru-3na-otc" class="uicontrol">開啟。

步驟二：部署OPA配置項

部署業(yè)務(wù)Pod之前，需要部署OPA配置文件和OPA策略的配置項Configmap。

1. 通過kubectl連接到ASM實例中新添加的ACK集群，執(zhí)行以下命令，部署OPA配置文件。

   kubectl apply -n {替換成實際的namespace} -f - <<EOF
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: opa-istio-config
   data:
     config.yaml: |
       plugins:
         envoy_ext_authz_grpc:
           addr: :9191
           path: istio/authz/allow
   EOF        

2. 通過kubectl連接到ASM實例中新添加的ACK集群，執(zhí)行以下命令，部署OPA策略。

   kubectl apply -n {替換成實際的namespace} -f - <<EOF
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: opa-policy
   data:
     policy.rego: |  ###以下為示例策略定義，需要替換成實際的策略定義。
       package istio.authz
       import input.attributes.request.http as http_request
       default allow = false
       allow {
           roles_for_user[r]
           required_roles[r]
       }
       roles_for_user[r] {
           r := user_roles[user_name][_]
       }
       required_roles[r] {
           perm := role_perms[r][_]
           perm.method = http_request.method
           perm.path = http_request.path
       }
       user_name = parsed {
           [_, encoded] := split(http_request.headers.authorization, " ")
           [parsed, _] := split(base64url.decode(encoded), ":")
       }
       user_roles = {
           "guest1": ["guest"],
           "admin1": ["admin"]
       }
       role_perms = {
           "guest": [
               {"method": "GET",  "path": "/productpage"},
           ],
           "admin": [
               {"method": "GET",  "path": "/productpage"},
               {"method": "GET",  "path": "/api/v1/products"},
           ],
       }
   EOF        

   • user_roles：為用戶授予角色權(quán)限。本例設(shè)置guest1擁有g(shù)uest角色權(quán)限，admin1擁有admin角色權(quán)限。

   • role_perms：設(shè)置角色擁有的權(quán)限。本文設(shè)置guest角色可以通過/productpage訪問應(yīng)用，admin角色可以通過/productpage和/api/v1/products訪問應(yīng)用。

步驟三：注入OPA代理

部署示例應(yīng)用Bookinfo到ASM實例，確認(rèn)每個POD都注入了OPA代理。

1. 部署示例應(yīng)用Bookinfo到ASM實例，請參見部署應(yīng)用到ASM實例。

2. 定義相應(yīng)的Istio虛擬服務(wù)和入口網(wǎng)關(guān)，請參見使用Istio資源實現(xiàn)版本流量路由。

3. 檢查每個應(yīng)用是否都注入OPA代理。

   1. 登錄容器服務(wù)管理控制臺。
   2. 在控制臺左側(cè)導(dǎo)航欄，單擊集群。
   3. 在集群列表頁面，單擊目標(biāo)集群名稱或者目標(biāo)集群右側(cè)操作列下的詳情。
   4. 在集群管理頁左側(cè)導(dǎo)航欄，選擇工作負(fù)載 > 容器組。

   5. 在容器組頁面，從命名空間下拉列表中選擇default，單擊目標(biāo)應(yīng)用容器組的名稱。

      在容器頁簽下可以看到容器被注入了Sidecar代理（istio-proxy）和OPA代理（opa-istio）。依次檢查每個應(yīng)用的容器，確保每個容器都被注入了Sidecar代理和OPA代理。