permitio/opal-client

OPAL Client Docker镜像文档

镜像概述和主要用途

OPAL（Open Policy Administration Layer）是Open Policy Agent (OPA)的管理层，用于实时检测策略（Policy）和策略数据（Policy Data）的变更，并向OPA代理推送实时更新。

OPAL Client 是OPAL生态中的客户端组件，主要用途是保持OPA代理缓存与最新策略和数据同步：通过接收来自OPAL Server的实时更新，确保OPA代理始终使用最新的策略规则和数据，无需手动重启或重新加载配置。该镜像内置OPA代理，适用于需要简化部署的场景。

核心功能和特性

• 实时更新同步：接收OPAL Server推送的策略（Rego代码）和策略数据实时更新，确保OPA缓存及时刷新。
• 选择性订阅：可配置订阅特定的策略代码主题和策略数据主题，仅同步关注的内容。
• 内置OPA代理：镜像预集成OPA代理，无需额外部署OPA容器，简化架构。
• WebSocket通信：通过WebSocket上的Pub/Sub通道与OPAL Server保持连接，低延迟接收更新。

镜像变体

OPAL提供三种镜像变体，本镜像为 permitio/opal-client：

使用场景和适用范围

• OPA实时策略更新：需要动态调整策略规则（如权限控制、访问策略）的OPA部署环境，避免手动更新OPA配置。
• 分布式OPA代理集群：多节点OPA部署场景下，通过OPAL Client统一接收更新，确保集群策略一致性。
• 按需数据同步：需根据业务场景选择性同步特定策略数据（如用户角色、资源元数据）的场景，减少不必要的数据传输。

使用方法和配置说明

前置条件

• 已部署OPAL Server（参考https://github.com/permitio/opal/blob/master/docs/HOWTO/get_started_with_opal_using_docker.md%EF%BC%89%E3%80%82
• 获取OPAL Server生成的客户端令牌（OPAL_CLIENT_TOKEN）。

基本运行命令

通过docker run启动OPAL Client容器，需指定必要环境变量：

bash
docker run -it \
  --env OPAL_CLIENT_TOKEN=<客户端令牌> \
  --env OPAL_SERVER_URL=<OPAL服务器地址> \
  --env OPAL_DATA_TOPICS=<数据主题列表> \
  -p 7000:7000 \  # OPAL Client服务端口
  -p 8181:8181 \  # 内置OPA代理端口（默认OPA端口）
  permitio/opal-client:<version>

环境变量说明

补充配置与扩展

• 自定义OPA配置：通过挂载配置文件覆盖内置OPA配置，例如：

  bash
  docker run -it \
    --env OPAL_CLIENT_TOKEN=<令牌> \
    --env OPAL_SERVER_URL=<服务器地址> \
    -v /local/opa-config.yaml:/etc/opal/opa_config.yaml \
    permitio/opal-client
  

• 详细部署指南：参考https://github.com/permitio/opal/blob/master/docs/HOWTO/get_started_with_opal_using_docker.md%E3%80%82
• Docker Compose示例：参考https://github.com/permitio/opal/blob/master/docs/HOWTO/get_started_with_opal_docker_compose_tutorial.md%EF%BC%8C%E5%8C%85%E5%90%AB%E5%AE%8C%E6%95%B4%E7%9A%84Server+Client%E9%83%A8%E7%BD%B2%E9%85%8D%E7%BD%AE%E3%80%82

获取帮助

• 官方文档：https://github.com/permitio/opal
• 社区支持：加入OPAL Slack社区获取实时问答
• 问题反馈：通过https://github.com/permitio/opal/issues%E6%8F%90%E4%BA%A4bug%E6%88%96%E5%8A%9F%E8%83%BD%E9%9C%80%E6%B1%82