审计 AWS 上的 k8s 集群事件

Question

对于 EKS 集群，cloudtrail 会记录集群事件，例如创建、更新和删除。 但是我们使用 kubeadm 来配置集群。 我们如何记录这些集群事件的审计跟踪？ 谢谢。

Answer 1

CloudTrail 在 AWS 中记录 API 事件，因此我认为您不能将其用于 K8S 事件。 但是，您可以使用日志传送器将自定义指标发送到 CloudWatch。 您可以从那里发出事件并创建仪表板。

为此，您有多种选择，您可以使用 CloudWatch 代理、An Elastic Beat、Logstash，或者如果您不想使用 CloudWatch，也可以使用 Splunk 之类的工具。

从 K8S 文档中，有一个审计日志（可能在您的集群的/var/log/kube-audit中），它...

Kubernetes 审计提供了一组与安全相关的按时间顺序排列的记录，记录了单个用户、管理员或系统的其他组件影响系统的活动序列。 它允许集群管理员回答以下问题：

您可以使用其他服务发送/解析此日志。

如果您需要更多地控制结果，您可以根据 libbeat 规范编写自定义 Beat。 https://github.com/elastic/beats/tree/master/libbeat

否则，我想很多人都在使用 Filebeat： https : //github.com/elastic/beats/tree/master/deploy/kubernetes

K8S 还支持自定义审计策略以进一步控制