OPA Rego策略在Playground测试正常但集群部署未达预期求助

最高发根因（90%以上同类问题都是这几个） #

• 输入路径不匹配
  Rego Playground测试时多数人会直接把Ingress资源本体作为input根节点构造测试用例，但K8s准入webhook发给OPA的是封装后的AdmissionReview结构，目标资源实际嵌套在input.review.object路径下。如果规则里直接读input.metadata.annotations，上线后根本取不到注解字段，校验逻辑完全不会触发。
• 注解Key写漏前缀
  Nginx Ingress的连接数限制注解完整Key是nginx.ingress.kubernetes.io/limit-connections，不是裸写的limit-connections，Key写错自然匹配不到目标字段。
• 值类型不匹配
  Playground测试时很多人会把注解值设为数字类型（直接写5、10做比对），但K8s中所有注解的值固定为字符串类型，如果规则里写annotation_value == 5，永远匹配不上实际传入的"5"、"10"字符串值。
• 拒绝规则格式不符合准入要求
  K8s准入场景下OPA必须通过名为deny的集合类型规则返回拒绝信息，如果自定义了其他返回字段名、或者返回结构不符合要求，准入插件识别不到拦截信号，会直接放行请求。
• 资源匹配范围配置错误
  部署到集群的OPA策略如果没有指定匹配networking.k8s.io/v1（或对应你集群使用的Ingress API版本）的Ingress资源，会出现规则不触发、或者误拦截其他资源的问题。

可直接落地的正确Rego代码参考 #

package kubernetes.admission

# 预定义允许的连接数阈值，注意用字符串类型
allowed_limits := {"5", "10"}
limit_anno_key := "nginx.ingress.kubernetes.io/limit-connections"

# 拦截缺少必填注解的Ingress创建/更新请求
deny[msg] {
  input.review.object.kind == "Ingress"
  input.review.operation in {"CREATE", "UPDATE"}
  not input.review.object.metadata.annotations[limit_anno_key]
  msg := sprintf("Ingress资源缺失必填注解：%s", [limit_anno_key])
}

# 拦截注解值不符合要求的请求
deny[msg] {
  input.review.object.kind == "Ingress"
  input.review.operation in {"CREATE", "UPDATE"}
  current_val := input.review.object.metadata.annotations[limit_anno_key]
  not allowed_limits[current_val]
  msg := sprintf("注解%s取值仅允许为5或10，当前传入值为：%s", [limit_anno_key, current_val])
}

上线后验证步骤 #

• 先创建不带目标注解的Ingress清单，确认会被策略拦截
• 再创建注解值设为"15"的Ingress清单，确认拦截提示符合预期
• 最后创建注解值为"5"或"10"的Ingress清单，确认可正常部署

内容的提问来源于stack exchange，提问作者Techiescorner