lindex/rest-rego

rest-rego 镜像文档

镜像概述

rest-rego 是一个授权边车（sidecar）镜像，旨在通过 OPA (Open Policy Agent) Rego 策略为 REST API 提供安全保护，并与 Azure 服务深度集成。该镜像采用边车模式部署，可无缝集成到现有服务架构中，实现无需修改 API 服务代码即可添加细粒度的授权控制。

核心功能与特性

• 基于 Rego 策略的授权：使用 OPA Rego 声明式策略语言定义 API 访问规则，支持复杂的条件逻辑和属性基于访问控制（ABAC）
• Azure 集成：与 Azure 服务生态系统集成，可利用 Azure 身份验证、密钥管理等服务增强安全性
• 边车部署模式：作为独立容器部署在 API 服务旁，通过代理或拦截请求实现授权检查，无需侵入业务代码
• REST API 保护：专注于 RESTful API 的授权场景，支持 HTTP 方法、路径、请求头、查询参数等多维度的访问控制

使用场景

• Azure 云原生应用：在 Azure 环境中部署的微服务或 API 应用，需要统一的授权解决方案
• 微服务架构：跨多个服务的 API 访问控制，实现集中式策略管理
• 细粒度权限控制：需要基于用户角色、资源属性、环境变量等动态条件进行 API 访问决策的场景
• 零信任安全模型：作为零信任架构中的授权层，对每个 API 请求进行实时策略评估

使用方法

基本部署（Docker Run）

bash
docker run -d \
  --name rest-rego-sidecar \
  -p 8080:8080 \
  -v /path/to/rego/policies:/policies \
  -e AZURE_CLIENT_ID="your-azure-client-id" \
  -e AZURE_TENANT_ID="your-azure-tenant-id" \
  -e TARGET_API_URL="http://api-service:8081" \
  ab-lindex/rest-rego

Docker Compose 配置示例

yaml
version: '3.8'
services:
  api-service:
    image: your-api-image
    ports:
      - "8081:8081"

  rest-rego:
    image: ab-lindex/rest-rego
    ports:
      - "8080:8080"
    volumes:
      - ./rego-policies:/policies
    environment:
      - AZURE_CLIENT_ID=your-azure-client-id
      - AZURE_TENANT_ID=your-azure-tenant-id
      - TARGET_API_URL=http://api-service:8081
      - LISTEN_PORT=8080
      - LOG_LEVEL=info
    depends_on:
      - api-service

配置参数与环境变量

Rego 策略配置

将 Rego 策略文件放置在挂载的 POLICY_DIR 目录中，策略应定义针对 API 请求的授权规则。示例策略（api-auth.rego）：

rego
package api.auth

default allow = false

allow {
    # 允许 GET 请求访问 /public 路径
    input.method == "GET"
    input.path == "/public"
}

allow {
    # 验证 Azure AD 令牌中的角色声明
    has_role(input, "admin")
    input.method == "POST"
    input.path == "/admin/resource"
}

has_role(input, role) {
    input.headers["authorization"] != ""
    # 解析并验证 JWT 令牌（实际实现需结合 Azure AD 公钥）
    token := parse_jwt(input.headers["authorization"])
    token.roles[_] == role
}

更多信息

完整的源代码和详细文档请参考项目 GitHub 仓库：https://github.com/AB-Lindex/rest-rego