步驟一：啟用OPA插件

1. 登錄ASM控制臺。

2. 在左側導航欄，選擇服務網格 > 網格管理。

3. 在網格管理頁面，找到待配置的實例，單擊實例的名稱或在操作列中單擊管理。

4. 在基本信息頁面單擊右上角的功能設置。

5. 在功能設置更新頁面中選中啟用OPA插件。

6. 單擊確定。

   在基本信息頁面可以看到OPA插件的狀態變為開啟。

步驟二：部署OPA配置項

部署業務Pod之前，需要部署OPA配置文件和OPA策略的配置項Configmap。

1. 通過kubectl連接到ASM實例中新添加的ACK集群，執行以下命令，部署OPA配置文件。

   kubectl apply -n {替換成實際的namespace} -f - <<EOF
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: opa-istio-config
   data:
     config.yaml: |
       plugins:
         envoy_ext_authz_grpc:
           addr: :9191
           path: istio/authz/allow
   EOF        

2. 通過kubectl連接到ASM實例中新添加的ACK集群，執行以下命令，部署OPA策略。

   kubectl apply -n {替換成實際的namespace} -f - <<EOF
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: opa-policy
   data:
     policy.rego: |  ###以下為示例策略定義，需要替換成實際的策略定義。
       package istio.authz
       import input.attributes.request.http as http_request
       default allow = false
       allow {
           roles_for_user[r]
           required_roles[r]
       }
       roles_for_user[r] {
           r := user_roles[user_name][_]
       }
       required_roles[r] {
           perm := role_perms[r][_]
           perm.method = http_request.method
           perm.path = http_request.path
       }
       user_name = parsed {
           [_, encoded] := split(http_request.headers.authorization, " ")
           [parsed, _] := split(base64url.decode(encoded), ":")
       }
       user_roles = {
           "guest1": ["guest"],
           "admin1": ["admin"]
       }
       role_perms = {
           "guest": [
               {"method": "GET",  "path": "/productpage"},
           ],
           "admin": [
               {"method": "GET",  "path": "/productpage"},
               {"method": "GET",  "path": "/api/v1/products"},
           ],
       }
   EOF        

   • user_roles：為用戶授予角色權限。本例設置guest1擁有guest角色權限，admin1擁有admin角色權限。

   • role_perms：設置角色擁有的權限。本文設置guest角色可以通過/productpage訪問應用，admin角色可以通過/productpage和/api/v1/products訪問應用。

步驟三：注入OPA代理

部署示例應用Bookinfo到ASM實例，確認每個POD都注入了OPA代理。

1. 部署示例應用Bookinfo到ASM實例，請參見部署應用到ASM實例。

2. 定義相應的Istio虛擬服務和入口網關，請參見使用Istio資源實現版本流量路由。

3. 檢查每個應用是否都注入OPA代理。

   1. 登錄容器服務管理控制臺。
   2. 在控制臺左側導航欄，單擊集群。
   3. 在集群列表頁面，單擊目標集群名稱或者目標集群右側操作列下的詳情。
   4. 在集群管理頁左側導航欄，選擇工作負載 > 容器組。

   5. 在容器組頁面，從命名空間下拉列表中選擇default，單擊目標應用容器組的名稱。

      在容器頁簽下可以看到容器被注入了Sidecar代理（istio-proxy）和OPA代理（opa-istio）。依次檢查每個應用的容器，確保每個容器都被注入了Sidecar代理和OPA代理。