OPA (Open Policy Agent)
devsecopsDéfinition
Moteur de politiques généraliste permettant de définir des règles as code (Rego) pour enforcer la conformité sur Kubernetes, Terraform, API et microservices de manière uniforme.
Description
OPA (Open Policy Agent) est un moteur de politiques généraliste utilisant le langage Rego pour évaluer des décisions d'autorisation sur n'importe quelle entrée JSON. En DevSecOps, il enforce les politiques Kubernetes (via Gatekeeper), valide les configs Terraform et autorise les API microservices.
Mise en œuvre
Déployer OPA Gatekeeper comme admission webhook Kubernetes. Écrire des ConstraintTemplates Rego définissant les règles (ex: toute image doit provenir de harbor.company.com), puis des Constraint objects appliquant ces règles sur les namespaces cibles.
Points clés
- Rego playground : tester les politiques interactivement sur play.openpolicyagent.org
- Bundle API : distribuer les politiques versionnées via un serveur HTTPS ou registre OCI
- OPA Decision Logs : traçabilité de chaque décision d'autorisation pour audit
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis