Ver registros de auditoria do GKE

Nesta página, mostramos como visualizar informações sobre o status da implantação e a aplicação da política nos registros de auditoria do Cloud.

Para saber mais sobre a terminologia da interface do usuário dos Registros de auditoria do Cloud usada nesta página, consulte Como visualizar registros.

É possível avaliar a postura de segurança do aplicativo, incluindo a aplicação da política de autorização binária entre produtos interdependentes do Google Cloud em um único painel. Para saber mais, consulte Monitoramento de segurança.

Visão geral

Quando você usa a autorização binária para implantar uma imagem de contêiner no Google Kubernetes Engine (GKE), o GKE grava detalhes sobre a implantação nos registros de auditoria do Google Cloud Observability. Essas entradas de registro de auditoria incluem mensagens de status de aplicação. Veja essas entradas de registro no Console do Google Cloud ou na linha de comando com gcloud logging read.

Para as pesquisas posteriores neste guia, você acessará os registros de auditoria do Cloud e selecionará o projeto com os eventos que quer visualizar.

Para acesso geral aos registros de auditoria do Cloud, faça o seguinte:

1. Acesse a página Logging do Google Cloud Observability > Registros (Análise de registros) no console do Google Cloud:

   Acessar o Explorador de registros

2. Escolha o projeto do Google Cloud em que você quer ver os registros de auditoria do Cloud.

Mensagens de status da aplicação

O GKE grava mensagens no registro de auditoria para as seguintes condições de aplicação:

• Implantação bloqueada: a implantação foi bloqueada devido à política de autorização binária.
• Evento de intervalo: a implantação ignorou a verificação de política usando o mecanismo de intervalo. Para mais informações, consulte Como usar o intervalo.
• Falha ao abrir: a implantação foi permitida porque o back-end de autorização binária não estava disponível.
• Teste de simulação: implantação permitida com violações de política porque o modo de simulação foi definido na política de autorização binária.

Eventos de implantação bloqueados nos registros de auditoria do Cloud

Quando uma imagem de contêiner está bloqueada porque viola uma política de autorização binária, é possível encontrar os eventos de implantação bloqueados nos registros de auditoria do Cloud.

Consultar eventos de implantação bloqueados nos registros de auditoria do Cloud

Nesta seção, você verá como consultar registros de auditoria do Cloud em busca de eventos de implantação bloqueados.

gcloud logging read --order="desc" --freshness=7d \
  'resource.type="k8s_cluster"
   logName:"cloudaudit.googleapis.com%2Factivity"
   (protoPayload.methodName="io.k8s.core.v1.pods.create" OR
    protoPayload.methodName="io.k8s.core.v1.pods.update")
   protoPayload.response.status="Failure"
   (protoPayload.response.reason="VIOLATES_POLICY" OR
   protoPayload.response.reason="Forbidden")
   NOT "kube-system"
   NOT "istio-system"'

Eventos de implantação forçada nos registros de auditoria do Cloud

A autorização binária permite substituir a política usando um rótulo de implantação forçada na Especificação de pods. Quando as imagens são implantadas com o acesso de emergência, a autorização binária registra eventos de acesso de emergência nos Registros de auditoria do Cloud. Veja na seção a seguir como consultar esses eventos.

Consultar registros de auditoria do Cloud em busca de pods com implantação forçada especificada

gcloud logging read --order="desc" --freshness=7d \
  'resource.type="k8s_cluster" AND
  logName:"cloudaudit.googleapis.com%2Factivity" AND
  (protoPayload.methodName="io.k8s.core.v1.pods.create" OR
    protoPayload.methodName="io.k8s.core.v1.pods.update") AND
  "image-policy.k8s.io/break-glass"'

Eventos de falha ao abrir nos registros de auditoria do Cloud

A falha ao abrir ocorre quando há tentativa de implantação de imagem de contêiner, o implementador de autorização binária está indisponível ou expira e a imagem de contêiner tem permissão para implantar.

Nesse caso, o resultado da verificação é desconhecido e uma entrada de registro é gravada.

Consultar eventos de falha ao abrir nos registros de auditoria do Cloud

gcloud logging read --order="desc" --freshness=7d \
  'resource.type="k8s_cluster"
   logName:"cloudaudit.googleapis.com%2Factivity"
   (protoPayload.methodName="io.k8s.core.v1.pods.create" OR
    protoPayload.methodName="io.k8s.core.v1.pods.update")
   ("image-policy.k8s.io/failed-open" OR
    "imagepolicywebhook.image-policy.k8s.io/failed-open" OR
    "failed-open.validating.webhook.admission.k8s.io")'

Eventos de teste nos registros de auditoria do Cloud

O modo de teste é um modo de aplicação em uma política que permite a implantação de imagens não representativas, mas grava detalhes sobre a implantação no registro de auditoria. O modo de teste permite testar uma política no ambiente de produção antes que ela entre em vigor.

Quando uma imagem de contêiner não passa nas verificações necessárias em uma política, mas pode ser implantada pelo modo de teste, os registros de auditoria do Cloud contêm imagepolicywebhook.image-policy.k8s.io/dry-run: "true".

Consultar os registros de auditoria do Cloud em busca de eventos de teste

gcloud logging read --order="desc" --freshness=7d \
  'labels."imagepolicywebhook.image-policy.k8s.io/dry-run"="true"'