permitio/opal-client-standalone

OPAL Client独立版镜像文档

镜像概述和主要用途

OPAL（Open Policy Administration Layer）是Open Policy Agent (OPA)的管理层，核心功能是实时检测策略代码（Rego）和策略数据的变更，并向OPA代理推送实时更新。本镜像为OPAL Client独立版（permitio/opal-client-standalone:<version>），与包含OPA的标准OPAL Client不同，此版本不内置OPA，需用户预先独立部署OPA实例。

核心功能和特性

• 实时变更检测：持续监控策略代码和策略数据的更新
• 主动推送更新：通过websockets上的Pub/Sub通道向OPA代理推送变更
• 灵活集成：支持与用户自行部署的OPA实例对接
• 主题订阅：可配置数据主题订阅，实现精准数据同步

使用场景和适用范围

适用于需要分离OPAL Client与OPA部署的场景，包括：

• 已有独立OPA集群需集成实时策略管理
• 对OPA资源分配有特定要求的环境
• 需要自定义OPA配置或版本的生产系统
• 多团队共享OPA实例但独立管理策略更新的场景

镜像变体

OPAL提供三种镜像变体，功能差异如下：

详细使用方法和配置说明

前置条件

1. 部署OPA实例（推荐版本v0.40+）
2. 确保OPAL Client与OPA、OPAL Server之间网络互通
3. 获取OPAL服务器的访问令牌（OPAL_CLIENT_TOKEN）

关键环境变量

部署示例

Docker Run命令

sh
# 配置OPA访问地址（需替换为实际OPA地址）
export POLICY_STORE_URL=http://localhost:8181/v1

# 启动OPAL Client独立版
docker run -it \
  --env OPAL_CLIENT_TOKEN=your-token \
  --env OPAL_SERVER_URL=http://opal-server:7002 \
  --env OPAL_DATA_TOPICS='["default"]' \
  --env POLICY_STORE_URL \
  -p 7000:7000 \
  permitio/opal-client-standalone:latest

验证部署

容器启动后，可通过以下方式验证：

• 访问容器暴露的7000端口：http://<client-ip>:7000
• 查看日志确认"Connected to OPAL server"等成功连接信息
• 在OPA中检查策略数据是否已同步（通过curl $POLICY_STORE_URL/data）

获取帮助

• https://github.com/permitio/opal/blob/master/docs/HOWTO/get_started_with_opal_docker_compose_tutorial.md%EF%BC%9A%E5%90%ABDocker Compose配置示例
• https://github.com/permitio/opal/blob/master/docs/HOWTO/get_started_with_opal_using_docker.md%EF%BC%9A%E8%AF%A6%E7%BB%86%E7%8E%AF%E5%A2%83%E5%8F%98%E9%87%8F%E9%85%8D%E7%BD%AE%E8%AF%B4%E6%98%8E
• https://github.com/permitio/opal%EF%BC%9A%E5%AE%8C%E6%95%B4%E6%8A%80%E6%9C%AF%E6%96%87%E6%A1%A3
• Slack社区：实时问答支持
• https://github.com/permitio/opal/issues%EF%BC%9A%E6%8F%90%E4%BA%A4bug%E6%88%96%E5%8A%9F%E8%83%BD%E8%AF%B7%E6%B1%82