Dokumen ini menjelaskan cara menggunakan Cloud Audit Logs untuk Google Distributed Cloud. Google Distributed Cloud menggunakan Kubernetes Audit Logging, yang menyimpan catatan kronologis panggilan yang dilakukan ke Kubernetes API cluster server tertentu. Log audit berguna untuk menyelidiki permintaan API yang mencurigakan dan untuk mengumpulkan statistik. Untuk informasi tentang logging audit untuk GKE On-Prem API, lihat Audit Cloud API logging.
Tentang Cloud Audit Logs
Log audit ditulis ke Cloud Audit Logs di project Google Cloud Anda. Menulis ke Cloud Audit Logs memiliki beberapa manfaat dibandingkan menulis untuk {i>disk<i} atau mengambil log dalam sistem {i>logging<i} lokal:
- Log audit untuk semua cluster GKE dapat dipusatkan.
- Entri log yang ditulis ke Cloud Audit Logs tidak dapat diubah.
- Entri Cloud Audit Logs disimpan selama 400 hari.
- Fitur Cloud Audit Logs termasuk dalam harga Google Distributed Cloud.
- Anda dapat mengonfigurasi Google Distributed Cloud untuk menulis log ke disk atau Cloud Audit Logs.
Logging audit berbasis disk
Jika Cloud Audit Logs dinonaktifkan secara eksplisit, log audit di Google Distributed Cloud ditulis ke persistent disk sehingga cluster dimulai ulang dan upgrade tidak menyebabkan log-log tersebut hilang. Google Distributed Cloud menyimpan hingga 1 GiB entri log audit.
Akses log audit berbasis disk dengan login ke Node bidang kontrol. Log
berada di direktori /var/log/apiserver/
.
Cloud Audit Logs
Entri log audit Aktivitas Admin dari semua server Kubernetes API dikirim ke
Google Cloud, menggunakan project dan lokasi yang Anda tentukan saat
membuat cluster pengguna. Untuk melakukan buffering dan menulis entri log ke Cloud Audit Logs,
Google Distributed Cloud men-deploy kumpulan daemon audit-proxy
yang berjalan pada kontrol
node bidang.
Batasan
Cloud Audit Logs untuk Google Distributed Cloud memiliki batasan berikut:
- Logging akses data tidak didukung.
- Mengubah kebijakan audit Kubernetes tidak didukung.
- Cloud Audit Logs tidak tahan terhadap pemadaman jaringan yang berkepanjangan. Jika entri log tidak dapat diekspor ke Google Cloud, entri tersebut disimpan dalam cache Buffer disk 10 GiB. Jika {i>buffer<i} itu terisi, maka entri terlama akan menurun.
Membuat akun layanan untuk Cloud Audit Logs
Sebelum Anda dapat menggunakan Cloud Logging dan Cloud Monitoring dengan Google Distributed Cloud, Anda harus terlebih dahulu mengonfigurasi hal berikut:
Buat Ruang Kerja Cloud Monitoring di dalam project Google Cloud, jika Anda belum memilikinya.
Di Konsol Google Cloud, klik tombol berikut dan ikuti alur kerja.
Klik tombol berikut untuk mengaktifkan API yang diperlukan:
Tetapkan peran IAM berikut ke akun layanan yang digunakan oleh agen Stackdriver:
logging.logWriter
monitoring.metricWriter
stackdriver.resourceMetadata.writer
monitoring.dashboardEditor
Mengakses Cloud Audit Logs
Konsol
Di konsol Google Cloud, buka halaman Logs Explorer di Menu Logging.
Jika halaman Log Viewer Lama terbuka, pilih Upgrade ke halaman yang baru Logs Explorer dari menu drop-down Upgrade.
Klik Kueri untuk mengakses kolom untuk mengirimkan kueri.
Isi kolom dengan kueri berikut:
resource.type="k8s_cluster" logName="projects/PROJECT_ID/logs/externalaudit.googleapis.com%2Factivity" protoPayload.serviceName="anthosgke.googleapis.com"
Ganti
PROJECT_ID
dengan project ID Anda.Klik Run query untuk menampilkan semua log audit dari Google Distributed Cloud cluster yang dikonfigurasi untuk login ke project ini.
gcloud
Buat daftar dua entri log pertama dalam log Aktivitas Admin project Anda yang
berlaku untuk jenis resource k8s_cluster
:
gcloud logging read \
'logName="projects/PROJECT_ID/logs/externalaudit.googleapis.com%2Factivity" \
AND resource.type="k8s_cluster" \
AND protoPayload.serviceName="anthosgke.googleapis.com" ' \
--limit 2 \
--freshness 300d
Ganti PROJECT_ID
dengan project ID Anda.
Output menunjukkan dua entri log. Perhatikan bahwa untuk setiap entri log,
Kolom logName
memiliki nilai
projects/PROJECT_ID/logs/externalaudit.googleapis.com%2Factivity
dan protoPayload.serviceName
sama dengan anthosgke.googleapis.com
.
Kebijakan audit
Kebijakan audit Kubernetes menentukan aturan untuk peristiwa yang dicatat sebagai log entri dan menentukan data apa yang harus disertakan dalam entri log. Mengubah ini kebijakan untuk mengubah perilaku Cloud Audit Logs tidak didukung.