Alibaba Cloud Service Mesh:Implementar controle de acesso refinado com políticas OPA

Parâmetros principais

export GATEWAY_IP=<ingress-gateway-ip>

Testar como guest1 (função guest)

Acesse /productpage -- resultado esperado: 200 OK

curl -X GET http://$GATEWAY_IP/productpage --user guest1:password -I

HTTP/1.1 200 OK

Acesse /api/v1/products -- resultado esperado: 403 Forbidden

curl -X GET http://$GATEWAY_IP/api/v1/products --user guest1:password -I

HTTP/1.1 403 Forbidden

O usuário guest1 possui a função guest, que permite apenas GET /productpage.

Testar como admin1 (função admin)

Acesse /productpage -- resultado esperado: 200 OK

curl -X GET http://$GATEWAY_IP/productpage --user admin1:password -I

HTTP/1.1 200 OK

Acesse /api/v1/products -- resultado esperado: 200 OK

curl -X GET http://$GATEWAY_IP/api/v1/products --user admin1:password -I

HTTP/1.1 200 OK

O usuário admin1 possui a função admin, que permite tanto GET /productpage quanto GET /api/v1/products.

kubectl edit asmopapolicy bookinfo-opa -n default

apiVersion: istio.alibabacloud.com/v1beta1
kind: ASMOPAPolicy
metadata:
  name: bookinfo-opa
  namespace: default
spec:
  policy: |
    package istio.authz
    import input.attributes.request.http as http_request
    allow {
        roles_for_user[r]
        required_roles[r]
    }
    roles_for_user[r] {
        r := user_roles[user_name][_]
    }
    required_roles[r] {
        perm := role_perms[r][_]
        perm.method = http_request.method
        perm.path = http_request.path
    }
    user_name = parsed {
        [_, encoded] := split(http_request.headers.authorization, " ")
        [parsed, _] := split(base64url.decode(encoded), ":")
    }
    user_roles = {
        "guest1": ["guest", "admin"],
        "admin1": ["admin"]
    }
    role_perms = {
        "guest": [
            {"method": "GET",  "path": "/productpage"},
        ],
        "admin": [
            {"method": "GET",  "path": "/productpage"},
            {"method": "GET",  "path": "/api/v1/products"},
        ],
    }

Verifique a política atualizada

Após a atualização, guest1 consegue acessar ambos os caminhos:

curl -X GET http://$GATEWAY_IP/productpage --user guest1:password -I

HTTP/1.1 200 OK

curl -X GET http://$GATEWAY_IP/api/v1/products --user guest1:password -I

HTTP/1.1 200 OK

Antes da atualização, guest1 recebia 403 Forbidden para /api/v1/products. Após a atualização, ambos os caminhos retornam 200 OK, confirmando a atualização dinâmica da política.

Cenário 1: Autorizar requisições com base em claims JWT

O OPA pode verificar JSON Web Tokens (JWTs) no cabeçalho Authorization e conceder ou negar acesso com base nas claims do token.

A política a seguir permite uma requisição GET para /productpage apenas quando o JWT contém Role: guest e userGroup: visitor:

apiVersion: istio.alibabacloud.com/v1beta1
kind: ASMOPAPolicy
metadata:
  name: policy-jwt
  namespace: default
spec:
  policy: |
    package istio.authz

    allow {
      input.attributes.request.http.method == "GET"
      input.parsed_path[0] == "productpage"
      # Verify JWT signature with shared secret
      io.jwt.verify_hs256(bearer_token, "B41BD5F462719C6D6118E673A2389")
      claims.Role == "guest"
      claims.userGroup == "visitor"
    }
    claims := payload {
       [_, payload, _] := io.jwt.decode(bearer_token)
    }
    bearer_token := t {
      v := input.attributes.request.http.headers.authorization
      startswith(v, "Bearer ")
      t := substring(v, count("Bearer "), -1)
    }

Codifique os campos Role e userGroup em uma string JWT usando uma ferramenta JWT.

Teste a política:

curl --location --request GET 'http://$GATEWAY_IP/productpage' \
--header 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiZ3Vlc3QxIiwiUm9sZSI6Imd1ZXN0IiwidXNlckdyb3VwIjoidmlzaXRvciJ9.44OnUFZwOzSWzC7hyVfcle-uYk8byv7q_BBxS10AEWc'

Saída esperada: 200. Uma requisição com JWT inválido ou ausente retorna 403.

Cenário 2: Referenciar cruzadamente o corpo HTTP com claims JWT

O OPA pode referenciar cruzadamente valores entre o corpo da requisição e as claims JWT. A política a seguir permite uma requisição GET para /productpage apenas quando o username no corpo da requisição corresponde à claim Role no JWT e a claim userGroup é manager:

apiVersion: istio.alibabacloud.com/v1beta1
kind: ASMOPAPolicy
metadata:
  name: policy-body
  namespace: default
spec:
  policy: |
    package istio.authz

    allow {
      input.attributes.request.http.method == "GET"
      input.parsed_path[0] == "productpage"
      io.jwt.verify_hs256(bearer_token, "B41BD5F462719C6D6118E673A2389")
      claims.Role == input.parsed_body.username
      claims.userGroup == "manager"
    }
    claims := payload {
       [_, payload, _] := io.jwt.decode(bearer_token)
    }
    bearer_token := t {
      v := input.attributes.request.http.headers.authorization
      startswith(v, "Bearer ")
      t := substring(v, count("Bearer "), -1)
    }

Codifique as claims em um JWT usando uma ferramenta JWT.

Teste a política:

curl --location --request GET 'http://$GATEWAY_IP/productpage' \
--header 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiZ3Vlc3QxIiwiUm9sZSI6ImFkbWluIiwidXNlckdyb3VwIjoibWFuYWdlciJ9.pAUvTeONHF-i5Ps-EUYYXk-hnaz-j-ZgP_wXJZMBiR0' \
--header 'Content-Type: application/json' \
--header 'Cookie: session=eyJ1c2VyIjoiYWRtaW4ifQ.YRz90g.GT34_5BqlFTwGqabZk_qGZzxYQ0' \
--data-raw '{
    "username":"admin",
    "password":"12****"
}'

Saída esperada: 200. A claim Role do JWT (admin) corresponde ao username do corpo (admin) e userGroup é manager. Um JWT incompatível ou ausente retorna 403.

Cenário 3: Aplicar uma lista de permissões de usuários com contexto adicional

Baseado no Cenário 2, esta política adiciona uma verificação de lista de permissões: a claim username no JWT também deve constar em uma lista predefinida de bookinfo_managers.

A política permite uma requisição GET para /productpage apenas se todas as condições a seguir forem atendidas:

• A claim Role no JWT corresponde ao username no corpo da requisição.

• A claim userGroup é manager.

• A claim username está na lista bookinfo_managers (user1, user2 ou user3).

apiVersion: istio.alibabacloud.com/v1beta1
kind: ASMOPAPolicy
metadata:
  name: policy-range
  namespace: default
spec:
  policy: |
    package istio.authz
    bookinfo_managers = [{"name": "user1"}, {"name": "user2"}, {"name": "user3"}]

    allow {
      input.attributes.request.http.method == "GET"
      input.parsed_path[0] == "productpage"
      io.jwt.verify_hs256(bearer_token, "B41BD5F462719C6D6118E673A2389")
      claims.Role == input.parsed_body.username
      claims.userGroup == "manager"
      claims.username == bookinfo_managers[_].name
    }
    claims := payload {
       [_, payload, _] := io.jwt.decode(bearer_token)
    }
    bearer_token := t {
      v := input.attributes.request.http.headers.authorization
      startswith(v, "Bearer ")
      t := substring(v, count("Bearer "), -1)
    }

Codifique as claims em um JWT usando uma ferramenta JWT.

Teste a política:

curl --location --request GET 'http://$GATEWAY_IP/productpage' \
--header 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6InVzZXIxIiwiUm9sZSI6ImFkbWluIiwidXNlckdyb3VwIjoibWFuYWdlciJ9.2X0Fmb96jBexLcVm_55t8ZY6XveSxUAsQ1j3ar5dI_g' \
--header 'Content-Type: application/json' \
--header 'Cookie: session=eyJ1c2VyIjoiYWRtaW4ifQ.YRz90g.GT34_5BqlFTwGqabZk_qGZzxYQ0' \
--data-raw '{
    "username":"admin",
    "password":"12****"
}'

Saída esperada: 200. A claim username do JWT (user1) está na lista bookinfo_managers, a claim Role corresponde ao username do corpo e userGroup é manager. Uma requisição que falhar em qualquer condição retorna 403.

Como verifico se um pod usa políticas OPA?

O OPA executa como sidecar no mesmo pod da sua aplicação. Conecte-se ao pod e consulte a API do OPA:

curl 127.0.0.1:15081/v1/policies

Como valido políticas Rego antes da implantação?

Use o OPA Playground para testar e depurar políticas Rego online antes de aplicá-las à sua instância do ASM.