Container Service for Kubernetes:登録済みクラスターでのクラスター監査の使用

マスターノードにログインし、次のテンプレートに基づいて /etc/kubernetes/audit-policy.yamlファイルを変更します。 この手順は、他のマスターノードでも実行する必要があります。

apiVersion: audit.k8s.io/v1beta1
kind: ポリシー
# RequestReceivedステージのすべてのリクエストに対して監査イベントを生成しないでください。
omitStages:
  -"RequestReceived"
ルール:
  # 次のリクエストは、大量かつ低リスクとして手動で識別されました。
  # そうそれらを落としなさい。
  - level: None
    users: ["system:kube-proxy"]
    verbs: ["watch"]
    resources:
      - group: "" # コア
        resources: ["endpoints", "services"]
  - level: None
    users: ["system:unsecured"]
    namespaces: ["kube-system"]
    verbs: ["get"]
    resources:
      - group: "" # コア
        resources: ["configmaps"]
  - level: None
    users: ["kubelet"] # legacy kubelet identity
    verbs: ["get"]
    resources:
      - group: "" # コア
        resources: ["nodes"]
  - level: None
    userGroups: ["system:nodes"]
    verbs: ["get"]
    resources:
      - group: "" # コア
        resources: ["nodes"]
  - level: None
    ユーザー：
      - system:kube-controller-manager
      - system:kube-scheduler
      - system:serviceaccount:kube-system:endpoint-controller
    verbs: ["get", "update"]
    namespaces: ["kube-system"]
    resources:
      - group: "" # コア
        resources: ["endpoints"]
  - level: None
    users: ["system:apiserver"]
    verbs: ["get"]
    resources:
      - group: "" # コア
        resources: ["namespaces"]
  # これらの読み取り専用URLを記録しないでください。
  - level: None
    nonResourceURLs:
      - /healthz*
      - /version
      - /swagger*
  # イベントリクエストを記録しないでください。
  - level: None
    resources:
      - group: "" # コア
        resources: ["events"]
  # Secrets、ConfigMaps、およびTokenReviewsには、機密データとバイナリデータを含めることができます。
  # メタデータレベルでのみログを記録します。
  - level: Metadata
    resources:
      - group: "" # コア
        resources: ["secrets", "configmaps"]
      - group: authentication.k8s.io
        resources: ["tokenreviews"]
  # Get repsonses can be large; skip them.
  - level: Request
    verbs: ["get", "list", "watch"]
    resources:
      - group: "" # コア
      - group: "admissionregistration.k8s.io"
      - group: "apps"
      - group: "authentication.k8s.io"
      - group: "authorization.k8s.io"
      - group: "autoscaling"
      - group: "batch"
      - group: "certificates.k8s.io"
      - group: "extensions"
      - group: "networking.k8s.io"
      - group: "policy"
      - group: "rbac.authorization.k8s.io"
      - group: "settings.k8s.io"
      - group: "storage.k8s.io"
  # 既知のAPIのデフォルトレベル
  - level: RequestResponse
    resources:
      - group: "" # コア
      - group: "admissionregistration.k8s.io"
      - group: "apps"
      - group: "authentication.k8s.io"
      - group: "authorization.k8s.io"
      - group: "autoscaling"
      - group: "batch"
      - group: "certificates.k8s.io"
      - group: "extensions"
      - group: "networking.k8s.io"
      - group: "policy"
      - group: "rbac.authorization.k8s.io"
      - group: "settings.k8s.io"
      - group: "storage.k8s.io"
  # Default level for all other requests.
  -level: メタデータ 

マスターノードにログインし、次の説明に基づいて /etc/kubernetes/manifests/kube-apiserver.yamlファイルを変更します。 この手順は、他のマスターノードでも実行する必要があります。

• -- audit-log-* パラメーターをcommandセクションに追加します。

  ...
  spec:
    コンテナ：
    - command:
      -kube-apiserver
      --- audit-log-maxbackup=10
      --- audit-log-maxsize=100
      --- audit-log-path=/var/log/kubernetes/kubernetes.audit
      --- audit-log-maxage=30
      --- audit-policy-file=/etc/kubernetes/audit-policy.yaml
      ...

• aliyun_logs_audit-* パラメーターをenvセクションに追加します。

  ...
  spec:
    コンテナ：
    - command:
      -kube-apiserver
      --- audit-log-maxbackup=10
      --- audit-log-maxsize=100
      --- audit-log-path=/var/log/kubernetes/kubernetes.audit
      --- audit-log-maxage=30
      --- audit-policy-file=/etc/kubernetes/audit-policy.yaml
      ...
      ...
      env:
      -name: aliyun_logs_audit-${cluster_id}
        値: /var/log/kubernetes/kubernetes.audit
      -name: aliyun_logs_audit-${cluster_id}_タグ
        値: audit=apiserver
      -name: aliyun_logs_audit-${cluster_id}_product
        値: k8s-audit
      -name: aliyun_logs_audit-${cluster_id}_jsonfile
        value: "true"
      画像: registry-vpc.cn-shenzhen.aliyuncs.com/acs/kube-apiserver:v1.20.4-aliyun.1 

  重要

  {cluster_id} をクラスターのIDに置き換える必要があります。 クラスターのIDを取得する方法の詳細については、「クラスター情報の表示」をご参照ください。

• 次のテンプレートを使用して、/etc/kubernetes/audit-policy.yamlをkube-apiserverのポッドにマウントします。

  ...
  spec:
    コンテナ：
    - command:
      -kube-apiserver
      --- audit-log-maxbackup=10
      --- audit-log-maxsize=100
      --- audit-log-path=/var/log/kubernetes/kubernetes.audit
      --- audit-log-maxage=30
      --- audit-policy-file=/etc/kubernetes/audit-policy.yaml
      ...
      ...
      env:
      -name: aliyun_logs_audit-${cluster_id}
        値: /var/log/kubernetes/kubernetes.audit
      -name: aliyun_logs_audit-${cluster_id}_タグ
        値: audit=apiserver
      -name: aliyun_logs_audit-${cluster_id}_product
        値: k8s-audit
      -name: aliyun_logs_audit-${cluster_id}_jsonfile
        value: "true"
      画像: registry-vpc.cn-shenzhen.aliyuncs.com/acs/kube-apiserver:v1.20.4-aliyun.1
      ...
      ...
      volumeMounts:
      -mountPath: /var/log/kubernetes
        名前: k8s-audit
      -mountPath: /etc/kubernetes/audit-policy.yaml
        name: audit-policy
        readOnly: true
      ...
      ...
    volumes:
    - hostPath:
        パス: /var/log/kubernetes
        タイプ: DirectoryOrCreate
      名前: k8s-audit
    - hostPath:
        パス: /etc/kubernetes/audit-policy.yaml
        タイプ: FileOrCreate
      name: audit-policy
    ...