openpolicyagent/demo-elasticsearch-opa

Elasticsearch-OPA插件Docker镜像

镜像概述和主要用途

Elasticsearch-OPA插件Docker镜像是专为Elasticsearch设计的插件镜像，用于集成Open Policy Agent (OPA)——一款开源的通用策略引擎。该镜像简化了在Elasticsearch环境中部署和配置OPA插件的流程，通过统一的策略管理实现细粒度的访问控制，帮助用户基于自定义策略管控对Elasticsearch集群、索引、文档及字段的访问权限。

核心功能和特性

1. 无缝集成Elasticsearch

• 与主流Elasticsearch版本兼容（需参考具体版本适配说明），插件加载流程自动化，无需手动配置Elasticsearch插件目录。

2. OPA策略引擎支持

• 内置OPA运行时，支持Rego策略语言，可定义复杂的访问控制规则（如条件判断、角色映射、数据过滤等）。

3. 动态策略更新

• 支持通过OPA API或策略文件挂载实时更新访问策略，无需重启Elasticsearch集群即可生效。

4. 细粒度权限控制

• 支持多维度访问控制：集群级（如集群状态查看）、索引级（如读写权限）、文档级（如基于文档字段的访问限制）、字段级（如敏感字段脱敏或隐藏）。

5. 简化部署与运维

• 容器化封装，支持Docker Compose、Kubernetes等容器编排工具，降低环境依赖和部署复杂度。

使用场景和适用范围

适用场景

• 企业级权限管理：企业内部多团队共享Elasticsearch集群时，通过策略隔离不同团队的数据访问范围。
• 多租户环境：SaaS平台中，基于租户身份限制数据访问，确保租户数据隔离。
• 合规性需求：满足GDPR、HIPAA等合规要求，通过策略审计和控制敏感数据访问（如***记录、用户隐私数据）。
• 动态权限调整：业务需求变化时，无需修改Elasticsearch配置或重启服务，直接更新策略即可调整权限。

适用范围

• Elasticsearch容器化部署环境（Docker、Kubernetes）。
• 需要自定义访问控制逻辑的Elasticsearch集群。
• 对策略可维护性和扩展性有较高要求的场景。

使用方法和配置说明

获取镜像

从镜像仓库拉取最新版本（具体标签需参考官方仓库）：

bash
docker pull [镜像仓库地址]/elasticsearch-opa-plugin:[版本标签]

基本使用示例（docker run）

以下示例通过docker run启动Elasticsearch-OPA插件容器，需与Elasticsearch主容器联动：

bash
docker run -d \
  --name elasticsearch-opa-plugin \
  --link elasticsearch:elasticsearch \  # 关联Elasticsearch主容器
  -e ELASTICSEARCH_HOST=elasticsearch \  # Elasticsearch主机地址
  -e ELASTICSEARCH_PORT=9200 \          # Elasticsearch HTTP端口
  -e OPA_SERVER_URL=http://opa:8181 \   # OPA服务地址（若使用外部OPA）
  -v /path/to/policies:/policies \      # 挂载本地策略文件目录（可选）
  -p 9292:9292 \                        # 插件监听端口（供Elasticsearch调用）
  [镜像仓库地址]/elasticsearch-opa-plugin:[版本标签]

Docker Compose配置示例

通过docker-compose.yml编排Elasticsearch、OPA与插件容器：

yaml
version: '3'
services:
  elasticsearch:
    image: docker.elastic.co/elasticsearch/elasticsearch:[es-version]
    environment:
      - discovery.type=single-node
    ports:
      - "9200:9200"
    networks:
      - es-opa-network

  opa:
    image: openpolicyagent/opa:latest
    command: "run --server --log-level=info"
    ports:
      - "8181:8181"
    volumes:
      - ./opa-policies:/policies  # 挂载OPA策略文件
    networks:
      - es-opa-network

  elasticsearch-opa-plugin:
    image: [镜像仓库地址]/elasticsearch-opa-plugin:[版本标签]
    depends_on:
      - elasticsearch
      - opa
    environment:
      - ELASTICSEARCH_HOST=elasticsearch
      - ELASTICSEARCH_PORT=9200
      - OPA_SERVER_URL=http://opa:8181
      - PLUGIN_LOG_LEVEL=info  # 日志级别：debug/info/warn/error
    ports:
      - "9292:9292"
    networks:
      - es-opa-network

networks:
  es-opa-network:
    driver: bridge

环境变量配置

策略定义示例（Rego）

以下为简单的索引访问控制策略示例（保存为/policies/elasticsearch.rego并挂载到容器）：

rego
package elasticsearch.authz

# 允许用户"admin"访问所有索引
default allow = false
allow {
    input.user == "admin"
}

# 允许用户"dev"只读访问以"dev-"前缀的索引
allow {
    input.user == "dev"
    input.action == "read"
    startswith(input.index, "dev-")
}

策略文件需符合OPA Rego语法，具体规则需根据业务需求定义，可通过OPA API或文件挂载更新。

注意事项

1. 确保Elasticsearch版本与插件版本兼容（参考镜像官方版本说明）。
2. 生产环境中建议启用Elasticsearch和OPA的认证与加密（如TLS）。
3. 策略文件更新后，若未启用自动刷新，需手动触发插件策略重载（通过插件API或重启容器）。
4. 高并发场景下建议调整插件资源配置（如CPU、内存限制）以避免性能瓶颈。