permitio/pdp-v2

Permit.io PDP 镜像文档

概述

Permit.io PDP（Policy Decision Point，策略决策点）是Permit.io权限管理平台的核心组件，作为独立部署的轻量级服务，负责接收授权请求、评估预定义的访问控制策略，并返回决策结果（允许/拒绝）。该镜像封装了PDP的运行环境，支持快速部署和集成，适用于各类需要细粒度权限控制的应用场景。

核心功能与特性

• 实时策略评估：基于传入的主体（Subject）、资源（Resource）和操作（Action）信息，实时评估策略并返回决策结果
• 多策略语言支持：兼容OPA Rego、JSON Schema等多种策略定义语言，满足不同场景的策略表达需求
• 高性能与低延迟：优化的决策引擎设计，支持高并发授权请求，平均响应时间毫秒级
• 动态策略更新：与Permit.io云端平台或本地策略管理系统集成，支持策略的动态加载与更新，无需重启服务
• 轻量级部署：容器化设计，资源占用低，可在边缘节点、Kubernetes集群或传统服务器环境中运行
• 完整审计日志：记录所有决策过程和结果，支持合规性审计和问题排查

使用场景

• 微服务架构权限控制：在分布式微服务中作为集中式授权服务，统一处理跨服务的访问请求
• API访问控制：集成到API网关（如Kong、Nginx）或服务网格（如Istio）中，控制API端点的访问权限
• 云原生应用授权：为Kubernetes集群内的应用、Pod或资源提供基于角色的访问控制（RBAC）增强
• SaaS应用多租户权限：支持租户隔离的策略定义，实现多租户环境下的细粒度权限管理
• 零信任架构：作为零信任模型中的策略执行点，验证每个访问请求的身份与权限

使用方法

前提条件

• Docker引擎 19.03+ 或 Kubernetes环境
• 网络连接（用于拉取镜像和策略更新，离线环境需提前配置本地策略）
• Permit.io账户（可选，用于集成云端策略管理）

快速启动（Docker Run）

bash
docker run -d \
  --name permit-pdp \
  -p 7766:7766 \
  -e PERMIT_API_KEY="your-api-key" \
  -e PERMIT_POLICY_REPO="https://github.com/your-org/permit-policies" \
  permitio/pdp:latest

参数说明

• -p 7766:7766：映射PDP服务端口（默认HTTP API端口为7766）
• PERMIT_API_KEY：（可选）Permit.io平台API密钥，用于从云端同步策略
• PERMIT_POLICY_REPO：（可选）本地或远程策略仓库地址，用于加载静态策略

环境变量配置

Docker Compose 示例

yaml
version: '3.8'
services:
  permit-pdp:
    image: permitio/pdp:latest
    container_name: permit-pdp
    ports:
      - "7766:7766"
    environment:
      - PERMIT_API_KEY=your-api-key
      - PERMIT_LOG_LEVEL=info
      - PERMIT_CACHE_TTL=60
    volumes:
      - ./local-policies:/policies  # 挂载本地策略目录（离线模式使用）
    restart: unless-stopped

策略评估API使用示例

PDP启动后，可通过HTTP API提交授权请求：

bash
curl -X POST http://localhost:7766/v1/allowed \
  -H "Content-Type: application/json" \
  -d '{
    "subject": {
      "id": "user-123",
      "roles": ["editor"]
    },
    "resource": {
      "type": "document",
      "id": "doc-456"
    },
    "action": "edit"
  }'

响应示例（允许访问）：

json
{
  "allowed": true
}

注意事项

• 生产环境中建议启用HTTPS，可通过反向代理（如Nginx）配置TLS终结
• 高并发场景下，可水平扩展PDP实例并配置负载均衡
• 策略仓库变更后，PDP会自动拉取更新（默认每30秒检查一次，可通过PERMIT_POLICY_POLL_INTERVAL环境变量调整）
• 离线模式下，需确保本地策略目录包含完整的策略定义文件