opal

收录理由

在真实服务运行中，授权规则与其依赖的数据保持一致是件很麻烦的事。OPAL 为 OPA、Cedar 这类策略引擎提供了一个分发层：它监控策略包以及 git、数据库、S3 或你自己的 API 等数据源，一旦发生变化，就通过 websocket 的发布/订阅通道把更新实时推送给各个 agent。每个 agent 只订阅自己关心的主题，所以同步是精准的，不会把所有内容广播到所有地方。对于采用策略即代码的微服务团队来说，这特别实用——访问控制可以跟着线上应用的状态走，不用靠重新部署静态配置来生效。如果你在多个服务间做细粒度授权，这一层确实值得看看。