技能介绍

配置漂移与合规审查的痛点

在云原生和基础设施即代码（IaC）的实践中，结构化配置（如 Kubernetes 清单、Terraform 文件、Dockerfile 或 CI 流水线脚本）往往缺乏统一的安全与合规校验。人工 Review 难以覆盖所有基线规则，而不同团队编写的配置格式各异，导致配置漂移、权限过度开放或敏感信息泄露等隐患难以在合并前被拦截。

基于 Rego 的策略即代码实践

Conftest 将策略定义与配置数据解耦，通过 Open Policy Agent (OPA) 的 Rego 语言编写断言规则。其核心工作流非常直接：

编写策略：在 policy/ 目录下编写 .rego 文件，定义对输入配置的校验逻辑，例如禁止容器以 root 用户运行。
执行校验：通过 Conftest CLI 将策略文件与目标配置（如 deployment.yaml）结合运行，工具会自动解析配置结构并逐条匹配规则。
输出反馈：在 CI/CD 管道中集成，对未通过的策略返回非零退出码，直接阻断违规配置的合入。

适用边界与注意点

Conftest 并非万能，它强依赖于输入数据的结构化程度。对于高度动态或非结构化的配置文件，需要额外编写解析逻辑。此外，Rego 语言本身存在一定的学习曲线，团队需要建立策略代码的 Review 与版本管理规范，避免策略本身成为维护负担。

截图预览

使用场景

在编写 Kubernetes 清单后，需编写 Rego 规则拦截容器以 root 运行或未设资源限制的违规配置时。
团队使用 Terraform 管理云资源，在 CI 流水线合并 PR 前，需自动校验生成的 IAM 策略是否存在过度授权风险时。
维护包含多个 Dockerfile 的微服务项目，需统一检查基础镜像版本是否过旧或包含高危漏洞指令时。

适合人员

云原生平台工程师：需统一管控多租户 Kubernetes 集群的配置合规性，防止违规清单合入生产环境。
基础设施即代码开发者：在编写 Terraform 模块时，希望通过 Rego 策略提前拦截不符合安全基线的云资源定义。
DevSecOps 工程师：负责构建 CI/CD 流水线的安全卡点，需将 Conftest 集成到 GitLab CI 中自动校验 Dockerfile 与流水线脚本。