Kubernetes Auditing 审计日志

• Kubernetes Auditing 审计日志
  • Auditing 解决了那些问题？
  • Auditing 的来龙去脉？
  • Auditing 阶段
  • 审计策略
  • 添加审计日志

Kubernetes 审计日志提供了与安全相关的、按时间顺序排列的记录集， 记录每个用户、使用 Kubernetes API 的应用以及控制面自身引发的活动。

Auditing 解决了那些问题？

• 发生了什么？
• 什么时候发生的？
• 谁触发的？
• 活动发生在哪个（些）对象上？
• 在哪观察到的？
• 它从哪触发的？
• 活动的后续处理行为是什么？

Auditing 的来龙去脉？

审计记录最初产生于 kube-apiserver 内部。每个请求在不同执行阶段都会生成审计事件；这些审计事件会根据特定策略 被预处理并写入后端。策略确定要记录的内容和用来存储记录的后端。 当前的后端支持日志文件和 webhook。

Auditing 阶段

审计策略

已定义的审计级别有：

下面是一个简单的Demo，定义在我们的/etc/kubernetes/audit-policy/policy.yaml文件下。

apiVersion: audit.k8s.io/v1
kind: Policy
rules:
# 设置机密资源的审计日志级别为Metadata
- level: Metadata
  resources:
  - group: ""
    resources: ["secrets"]
# 设置节点的审计日志级别为RequestResponse
- level: RequestResponse
  userGroups: ["system:nodes"]
# 对于其他内容，不要记录任何内容
- level: None

你可以使用 --audit-policy-file 标志将包含策略的文件传递给 kube-apiserver.yaml。
如果不设置该标志，则不记录事件。

当然我们也可以使用最低限度的审计策略文件在 Metadata 级别记录所有请求：

# 在 Metadata 级别为所有请求生成日志
apiVersion: audit.k8s.io/v1beta1
kind: Policy
rules:
- level: Metadata

更多Policy配置请参考：https://kubernetes.io/zh-cn/docs/reference/config-api/apiserver-audit.v1/#audit-k8s-io-v1-Policy

添加审计日志

通过对 kube-apiserver.yaml的配置开启后端审计日志。

这里我们设置审计日志文件的策略/etc/kubernetes/audit-policy/policy.yaml，将审计日志写入/etc/kubernetes/audit-logs/audit.log当中(注意路径需要创建mkdir /etc/kubernetes/audit-logs/)，设置最大保留2个审记日志，每个最多7兆。

spec:
  containers:
  - command:
    - kube-apiserver
    - --audit-policy-file=/etc/kubernetes/audit-policy/policy.yaml
    - --audit-log-path=/etc/kubernetes/audit-logs/audit.log
    - --audit-log-maxsize=7
    - --audit-log-maxbackup=2

注意组要挂载相关卷。

volumeMounts:
  - mountPath: /etc/kubernetes/audit-policy/policy.yaml
    name: audit-policy
    readOnly: true
  - mountPath: /etc/kubernetes/audit-logs
    name: audit-logs
    readOnly: false

volumes:
  - name: audit-policy
    hostPath:
      path: /etc/kubernetes/audit-policy/policy.yaml
      type: File
  - name: audit-logs
    hostPath:
      path: /etc/kubernetes/audit-logs
      type: DirectoryOrCreate

systemctl daemon-reload
systemctl restart kubelet

更多请参考：https://kubernetes.io/zh-cn/docs/tasks/debug/debug-cluster/audit/