Leer Rego básico

Una regla de Rego tiene una cabeza y un cuerpo. En la política de Molle, la cabeza es deny contains msg if y el cuerpo es el bloque entre llaves. El cuerpo es una lista de expresiones y la regla solo produce su mensaje si todas se cumplen para los mismos datos. Si una expresión no se cumple, o su valor no está definido, la regla no produce nada para ese dato.

Los datos del cambio llegan en input. some rc in input.resource_changes recorre cada recurso del plan, y las expresiones siguientes se evalúan para cada uno.

not en Rego se cumple cuando la expresión de dentro no es verdadera, y eso incluye dos casos distintos: que valga falso y que no exista el campo. Lo segundo importa mucho al leer políticas sobre planes, porque un atributo que no se declara en el recurso simplemente no está en input.

En la regla de la base de datos, not rc.change.after.storage_encrypted se cumple tanto cuando el atributo es false como cuando no aparece. Es una decisión razonable (si no está declarado, no se puede afirmar que esté cifrada), pero hay que saber que está ahí para no contar mal los resultados.

Abre politica.rego y plan.json. La primera regla mira recursos de tipo aws_s3_bucket_acl y compara el campo acl con un valor exacto. Recorre los recursos de ese tipo en el plan y comprueba cuál cumple todas las expresiones. Fíjate en que la comparación es una igualdad exacta: un valor parecido no es el mismo valor.

Varias reglas con el mismo nombre (deny) no se excluyen: se suman. La evaluación de la política devuelve el conjunto de todos los mensajes que producen todas las reglas deny sobre todos los recursos. Si el conjunto no está vacío, el cambio se bloquea.

Cuenta cuántos mensajes produce la política completa sobre plan.json: lo que dispara cada una de las tres reglas, sumado. Recuerda lo que hace not con un atributo ausente y fíjate en que algunos recursos del plan no son del tipo que mira cada regla.

Una política que crece necesita que cada regla se pueda nombrar. En Rego, un comentario # METADATA puesto justo encima de una regla permite declarar un título, una descripción y campos propios bajo custom. En Molle el equipo guarda ahí un identificador de catálogo para cada regla, que luego aparece en informes y excepciones.