Kubernetes 审计日志

在 /etc/kubernetes/audit-policy.yaml 文件路径创建策略文件 audit-policy.yaml。由于 API 服务器会处理策略文件中定义的第一条匹配规则，请将特定规则放在顶部，后跟通用规则。

以下是官方 Kubernetes 文档中的示例策略文件。

apiVersion: audit.k8s.io/v1 # This is required.
kind: Policy
# Don't generate audit events for all requests in RequestReceived stage.
omitStages:
  - "RequestReceived"
rules:
  # Log pod changes at RequestResponse level
  - level: RequestResponse
    resources:
    - group: ""
      # Resource "pods" doesn't match requests to any subresource of pods,
      # which is consistent with the RBAC policy.
      resources: ["pods"]
  # Log "pods/log", "pods/status" at Metadata level
  - level: Metadata
    resources:
    - group: ""
      resources: ["pods/log", "pods/status"] 

  # Don't log requests to a configmap called "controller-leader"
  - level: None
    resources:
    - group: ""
      resources: ["configmaps"]
      resourceNames: ["controller-leader"] 
  
  # Don't log watch requests by the "system:kube-proxy" on endpoints or services
  - level: None
    users: ["system:kube-proxy"]
    verbs: ["watch"]
    resources:
    - group: "" # core API group
      resources: ["endpoints", "services"] 

  # Don't log authenticated requests to certain non-resource URL paths.
  - level: None
    userGroups: ["system:authenticated"]
    nonResourceURLs:
    - "/api*" # Wildcard matching.
    - "/version" 

  # Log the request body of configmap changes in kube-system.
  - level: Request
    resources:
    - group: "" # core API group
      resources: ["configmaps"]
    # This rule only applies to resources in the "kube-system" namespace.
    # The empty string "" can be used to select non-namespaced resources.
    namespaces: ["kube-system"] 

  # Log configmap and secret changes in all other namespaces at the Metadata level.
  - level: Metadata
    resources:
    - group: "" # core API group
      resources: ["secrets", "configmaps"] 

  # Log all other resources in core and extensions at the Request level.
  - level: Request
    resources:
    - group: "" # core API group
    - group: "extensions" # Version of group should NOT be included. 

  # A catch-all rule to log all other requests at the Metadata level.
  - level: Metadata
    # Long-running requests like watches that fall under this rule will not
    # generate an audit event in RequestReceived.
    omitStages:
      - "RequestReceived"

您只需在主节点上启用审计日志，因为 kube-apiserver 是托管在主节点上的集群控制平面的一部分。在 /etc/kubernetes/manifests/kube-apiserver.yaml 文件中配置以下标志。

--audit-policy-file=/etc/kubernetes/audit-policy.yaml
--audit-log-path=/var/log/kubernetes/audit/audit.log

按如下方式更新配置文件中的 volumeMounts 和 volumes 部分：

volumeMounts:
- mountPath: /etc/kubernetes/audit-policy.yaml
name: audit
readOnly: true
- mountPath: /var/log/kubernetes/audit/
name: audit-log
readOnly: false

volumes:
- hostPath:
path: /etc/kubernetes/audit-policy.yaml
type: File
name: audit
- hostPath:
path: /var/log/kubernetes/audit/
type: DirectoryOrCreate
name: audit-log

1. 登录您的 Site24x7 账户。
2. 下载并在 Kubernetes 集群主节点上安装 Site24x7 服务器监控 agent（Linux）。
3. 转到管理 > AppLogs > 日志配置文件 > 添加日志配置文件。
4. 从选择日志类型下拉列表中选择 Kubernetes 审计日志。
5. 将 /var/log/kubernetes/audit/audit.log 添加到要搜索日志的文件列表中。
   

   就是这样。您已准备好在本地部署环境中使用 Site24x7 AppLogs 监控审计日志。

在 Site24x7 Web 控制台中，导航到管理 > AppLogs > 日志配置文件 > 添加日志配置文件，并输入以下内容：

1. 在配置文件名称字段中输入日志配置文件的名称。
2. 从选择日志类型下拉列表中选择 Kubernetes 审计日志。
3. 从日志来源下拉列表中选择 Azure Functions。
4. 为日志时区选择 UTC。
5. 单击保存。
   

按照 Azure 诊断日志文档中的说明，使用 ARM 模板配置 Azure 资源。在上述文档中填写自定义部署页面中的详情（步骤 7 和 8）时，请确保针对 Kubernetes 审计日志编辑以下特定内容：

• 资源组：创建一个名称类似于 Site24x7-AKS-Audit-Logs 的新资源组。
• LogTypeConfig：从您已在 Site24x7 中创建的日志配置文件页面（管理 > AppLogs > 日志配置文件 > <Kubernetes 审计日志配置文件名称>）复制值。
  
  

1. 登录您的 Azure 门户。
2. 转到 Kubernetes 服务，选择您的 Kubernetes 集群，然后单击诊断设置。
   

3. 在日志下选择 Kubernetes 审计，在目标详情下选择流式传输到事件中心，然后选择事件中心命名空间。
   

   现在，您已准备好使用 Site24x7 AppLogs 监控 Azure Kubernetes Service 环境中的审计日志。

请参阅此官方文档中的指南以启用或禁用 Amazon EKS 审计日志。

• 在 Site24x7 Web 控制台中，导航到管理 > AppLogs > 日志配置文件 > 添加日志配置文件，然后：
  • 在配置文件名称字段中输入日志配置文件的名称。
  • 从选择日志类型下拉列表中选择 Kubernetes 审计日志。
  • 从日志来源下拉列表中选择 Amazon Lambda。
  • 单击保存。
• 按照此文档的 AWS 设置部分中的说明采集 CloudWatch 日志并在 Site24x7 中查看。但是，请确保选择 Kubernetes 审计日志、其 logtypeconfig，以及将日志组选择为 /aws/eks/<my-cluster>/cluster/，然后继续按文档中定义的说明操作。

现在，您已准备好使用 Site24x7 AppLogs 监控 Amazon Elastic Kubernetes Service 环境中的审计日志。

1. 按照本文档中日志后端配置部分所述，创建并定义审计策略。
2. 按照此文档中的说明创建日志类型。
   • 对于日志类型，输入 Kubernetes 审计日志。这将自动填充其余字段。
   • 确保已启用 API 上传。
   • 复制 HTTPS 端点 URL 以配置 Webhook 后端。
   • 单击保存。
3. 在路径 /etc/kubernetes/pki/audit-webhook.yaml 中创建一个新文件，并复制以下内容。确保在 YAML 文件的 server 键中提供您在上述步骤中复制的 HTTPS 端点 URL。
   

   apiVersion: v1
   kind: Config
   preferences: {}
   clusters:
   - name: kubernetes
   cluster:
   server: "https://logc.site24x7.com/event/receiver/M3NjE4ODc234242342wfwew3zMDhmMTZkYTVmM2I2N2MxOGZiZC9rdWJlY="
   contexts:
   - context:
   cluster: kubernetes
   user: kubernetes-admin
   name: kubernetes-admin@kubernetes
   current-context: kubernetes-admin@kubernetes
   preferences: {}
   users: []

4. 要配置后端 Webhook 审计，请在 /etc/kubernetes/manifests/kube-apiserver.yaml 文件中设置以下标志：
   
   

   --audit-webhook-config-file=/etc/kubernetes/pki/audit-webhook.yaml flag

现在，您已准备好使用 Site24x7 AppLogs 监控 Amazon Elastic Kubernetes Service 环境中的审计日志。

日志后端配置

1. 按照本文档中"日志后端配置"部分定义的说明操作，并等待几秒钟以使对 Kube-apiserver 配置文件的更改生效。
2. 运行以下命令检查 API 服务器是否正在运行：

   kubectl get pods -n kube-system -w

3. 现在运行以下命令打开日志文件，并检查审计条目是否已创建：

   sudo cat /var/log/kubernetes/audit/audit.log

4. 如果您看到类似于上述示例日志的日志，则确认审计条目正在被创建。

Webhook 后端配置

1. 按照本文档中"Webhook 后端配置"部分定义的说明操作，并等待几秒钟以使对 Kube-apiserver 配置文件的更改生效。
2. 运行以下命令检查 API 服务器是否正在运行：

   kubectl get pods -n kube-system -w

3. 由于 Webhook 后端将事件发送到外部 HTTP API，请等待几秒钟（最多一分钟），登录我们的 Web 客户端，并确认审计条目。

每个 Kubernetes API 调用包含 RequestReceived、ResponseStarted、ResponseComplete 和 Panic 等阶段。日志根据策略中定义的规则和审计级别（None、Metadata、Request 和 RequestResponse）进行记录。

1. Request 和 RequestResponse 级别可深入了解您的 API 调用，但会增加内存消耗，从而增加审计日志存储空间。
2. 使用 Metadata 排除敏感信息（如身份验证令牌）。