今天在HashiConf我们释放了哨兵。Sentinel是HashiCorp企业产品中的一个嵌入式策略即代码框架，支持细粒度的、基于逻辑的策略决策，该决策可扩展为获取外部信息来做出决策。»策略作为代码我们的基础设施自动化产品套件提供、保护、连接和运行任何基础设施，使用户能够创建和管理基础设施。它们建立在基础设施的基础上，作为代码来编码和自动化基础设施管理的规模。这种大规模创建、更改和销毁基础架构的能力在大型组织中会带来风险，因为经验不足的用户或配置不正确的自动化可能会导致严重的错误，从而影响业务运营。Sentinel将policy as code作为一个内置于HashiCorp企业工具的强大框架引入，允许通过实时运行系统来主动执行护栏、业务需求、法律遵从性等。Sentinel通过编制业务和监管政策来限制风险敞口，以确保基础设施的变更是安全的。将基础设施作为代码和策略作为代码一起使用户能够安全地自动化基础设施管理。»哨兵现在大多数系统都有一定程度的访问控制。你可以定义身份和他们可以访问的内容。这些ACL系统解决了一个直接而必要的问题，即在非常宽泛的范围内锁定系统。Sentinel是一个可重用的系统，用于更高级的软件策略决策。Sentinel支持：策略作为代码。将策略视为应用程序版本控制、代码复查、测试和自动化。高级逻辑和传统编程结构可以确定超出典型ACL系统限制的策略决策。Sentinel模拟器提供了一种在本地开发和测试策略的方法，而不是在它们执行的系统之外。细粒度、基于条件的策略。拒绝对任何可用输入的操作，而不是粗粒度的读、写和管理策略。根据请求数据或来自外部系统的数据做出决策。嵌入的。Sentinel嵌入到HashiCorp产品中。一旦您将企业HashiCorp产品升级到下一个版本，它将启用Sentinel。这使数据路径中的策略强制能够主动拒绝违反行为。多个强制级别。咨询、软强制和硬强制级别允许策略编写者以适当的严重性警告或拒绝违规行为。软强制策略可以用足够的权限覆盖，但提供审核跟踪和不可抵赖性。外部信息。获取外部信息以制定整体政策决策。任何使用公共Sentinel SDK的人都可以编写从自定义系统访问外部信息的插件。例如，可以编写一个HashiCorp Terraform策略来禁止在HashiCorp consur健康检查失败时更改基础结构。这使得Sentinel能够集成到现有的工作流和工具中，比如变更管理系统。多云兼容。确保每个基础设施提供商的业务和监管政策中都有基础架构更改。Sentinel对每个云提供商都使用同样强大的语言和工作流。»示例哨兵策略Sentinel嵌入Terraform Enterprise、Vault Enterprise、Consult Enterprise和Nomad Enterprise中，以添加一层细粒度的策略实施。Sentinel建立在现有ACL系统之上并自然扩展。»地形哨兵政策在地形计划和地形应用之间执行。这允许用户首先显示计划将发生的基础结构更改，使用Sentinel验证这些更改，然后在通过策略检查后应用这些更改。策略可以访问Terraform计划、状态和配置。以下是一些示例：示例：不允许在没有标记的情况下配置资源。导入"tfplan"主=规则{全部tfplan.resources公司作为r{r、 attr包含"tags"和长度（r。属性标记)>0}}示例：将Google云计算资源限制在n1-standard-16以下导入"tfplan"允许的机器类型=["n1-标准-1"，"n1-标准-2"，"n1-标准-4"，"n1-标准-8"，]主=规则{全部tfplan.resources公司作为r{r。属性机器类型在允许的机器类型中}}»拱顶Vault在两种不同的上下文中公开Sentinel：角色控制策略（RGP）和端点控制策略（EGP）。RGP向Vault中现有的基于角色的访问控制添加了一个额外的细粒度逻辑层。egp在指定的vaultapi前面跨所有角色强制执行，并向Vault添加额外的全局策略层。通过提供强制性的、可审计的政策执行，全球强制执行EGPs简化了法规遵从性。两者都为Vault的安全模型和策略系统提供了更多的控制和深度。示例：确保四小时前生成的任何令牌都不能在任何端点上使用。导入"时间"主=规则{时间。现在。sub(时间.负荷(token.creation_时间))8和时间.小时