用途：该技能用 Open Policy Agent（OPA）实现策略即代码，将安全要求、合规控制和组织标准写成可执行的 Rego 策略，用于合规校验、安全策略执行与配置审计，覆盖云原生环境、Kubernetes、CI/CD 流水线和基础设施即代码。
主要能力：支持编写 Rego 策略（如 Kubernetes Pod 安全、SOC2/PCI-DSS/GDPR 合规控制、Terraform 安全、API 授权 ABAC）；用单元测试验证策略；对配置执行策略评估；通过 OPA Gatekeeper 作为 Kubernetes 准入控制器在集群层强制执行；生成合规报告并导出违规供 SIEM 集成。
使用方式：安装 OPA（macOS 用 brew install opa；Linux 用 curl 下载二进制并 chmod +x opa），用 opa version 验证。基本命令包括 opa eval --data policy.rego --input input.json 'data.example.allow' 评估策略、opa test policy.rego policy_test.rego --verbose 运行测试、opa run --server --addr localhost:8181 启动服务。可配合脚本 evaluate_policy.py、generate_report.py、test_policies.sh 使用，并集成到 GitHub Actions、GitLab CI 等流水线。
适用场景：Kubernetes 准入控制、IaC 预部署校验、合规框架映射、数据分类强制、API 授权等。
限制：资料未提供具体收费、价格或平台支持范围；策略需自行编写与测试，建议保持测试覆盖率并做好版本管理、最小权限与审计日志。