如何查看OPA从Kubernetes API Server接收的请求负载？

一、直接获取OPA接收的原始请求负载 #

1. 开启OPA调试日志 #

原生OPA作为准入控制器运行时，添加调试日志参数即可直接打印完整请求：

• 修改OPA Deployment的启动命令，追加--log-level=debug参数。
• 实时查看日志：kubectl logs -n <opa命名空间> <opa-pod名> -f，过滤admission或request关键字，就能看到API Server转发给OPA的完整AdmissionReview请求结构。

2. 用调试Rego规则输出请求 #

编写临时规则将请求结构打印到日志，直观查看输入格式：

package kubernetes.admission

import input

# 调试用：将完整请求结构输出到OPA日志
warn("Raw request received:", input)

# 临时允许所有请求（仅调试场景使用）
default allow = true

加载该规则后，触发任意K8s资源操作（如创建Pod），查看OPA日志即可获取真实的input结构。

二、AdmissionReview请求核心结构 #

K8s转发给OPA的请求格式是固定的，核心字段如下，可对应日志内容参考：

{
  "apiVersion": "admission.k8s.io/v1",
  "kind": "AdmissionReview",
  "request": {
    "uid": "唯一请求ID",
    "kind": {"group": "资源组", "version": "版本", "kind": "资源类型"},
    "resource": {"group": "资源组", "version": "版本", "resource": "资源名称"},
    "operation": "操作类型：CREATE/UPDATE/DELETE/CONNECT",
    "userInfo": {"username": "请求用户名", "groups": ["用户组列表"]},
    "object": "当前操作的完整资源对象JSON",
    "oldObject": "更新/删除时的旧资源对象（创建时不存在）",
    "namespace": "资源所属命名空间",
    "dryRun": false
  }
}

在Rego规则中，通过input.request访问这些字段，例如input.request.operation判断操作类型，input.request.object.metadata.name获取资源名称。

三、关于kubectl -v=8的误区 #

kubectl -v=8打印的是kubectl与API Server之间的交互请求，和API Server转发给OPA的准入请求结构完全不同，所以你看到的内容和OPA教程中的请求格式不匹配是正常的，不要用这种方式查看OPA的输入。

内容的提问来源于stack exchange，提问作者Doctor