土法炼钢兴趣小组的算法知识备份

【身份与访问控制工程】OPA、Cedar 与策略引擎落地

2026-06-18 | architecture · security | #opa #rego #cedar #policy-engine #policy-as-code #authorization #open-policy-agent

OPA 是 CNCF 的策略引擎标准答案，Rego 是它的策略语言；Cedar 是 AWS 开源的新竞争者，基于 Rust 的 WASM 编译执行、语法更接近 SQL。两者在架构模式（sidecar vs 中心化）、策略语言设计哲学和性能特征上有根本差异。本文从策略引擎的架构模式出发，拆解 OPA Rego 的核心语义与性能限制、Cedar 的设计取舍，以及策略即代码（Policy as Code）在 CI/CD 中的落地。