Utilizzare il logging di controllo di Kubernetes

Questo documento descrive come utilizzare Cloud Audit Logs per Google Distributed Cloud (solo software) su bare metal. Google Distributed Cloud utilizza Kubernetes Audit Logging, che mantiene un record cronologico delle chiamate effettuate a un server dell'API Kubernetes del cluster. I log di controllo sono utili per analizzare le richieste API sospette e per raccogliere statistiche. Per informazioni sull'audit logging per l'API GKE On-Prem, consulta Audit logging dell'API Cloud.

Informazioni su Cloud Audit Logs

I log di controllo vengono scritti in Cloud Audit Logs nel tuo progettoGoogle Cloud . La scrittura in Cloud Audit Logs offre diversi vantaggi rispetto alla scrittura su disco o all'acquisizione di log in un sistema di logging on-premise:

• Gli audit log per tutti i cluster GKE possono essere centralizzati.
• Le voci di log scritte in Cloud Audit Logs sono immutabili.
• Le voci di Cloud Audit Logs vengono conservate per 400 giorni.
• La funzionalità Cloud Audit Logs è inclusa nel prezzo di Google Distributed Cloud solo software.
• Puoi configurare Google Distributed Cloud per scrivere i log su disco o in Cloud Audit Logs.

Audit logging basato su disco

Se Cloud Audit Logs è disattivato in modo esplicito, gli audit log vengono scritti su un disco permanente in modo che i riavvii e gli upgrade del cluster non causino la scomparsa dei log. Il software Google Distributed Cloud conserva solo fino a 1 GiB di voci di audit log.

Accedi agli audit log basati su disco eseguendo l'accesso ai nodi del control plane. I log si trovano nella directory /var/log/apiserver/.

Cloud Audit Logs

Le voci di audit log per le attività di amministrazione di tutti i server API Kubernetes vengono inviate a Google Cloud, utilizzando il progetto e la località specificati durante la creazione di un cluster utente. Per memorizzare nel buffer e scrivere le voci di log in Cloud Audit Logs, Google Distributed Cloud esegue il deployment di un set di daemon audit-proxy che viene eseguito sui nodi del piano di controllo.

Limitazioni

Su bare metal, Cloud Audit Logs presenta le seguenti limitazioni:

• La registrazione dell'accesso ai dati non è supportata.
• La modifica della policy di controllo di Kubernetes non è supportata.
• Cloud Audit Logs non è resiliente a interruzioni di rete prolungate. Se le voci di log non possono essere esportate in Google Cloud, vengono memorizzate nella cache in un buffer del disco da 10 GB. Se il buffer si riempie, le voci meno recenti vengono eliminate.
  • Un progetto può supportare fino a circa 1000 service account da utilizzare con Cloud Audit Logs. Più cluster possono utilizzare lo stesso account di servizio.

Creazione di un account di servizio per Cloud Audit Logs

Prima di poter utilizzare Cloud Logging e Cloud Monitoring con Google Distributed Cloud solo software, devi prima configurare quanto segue:

1. Crea un workspace Cloud Monitoring all'interno del progetto Google Cloud , se non ne hai già uno.

   Nella console Google Cloud , fai clic sul seguente pulsante e segui il flusso di lavoro.

   Vai a Monitoring

2. Fai clic sui seguenti pulsanti per abilitare le API richieste:

   Abilita l'API Anthos Audit

   Abilita l'API Stackdriver

   Abilita l'API Monitoring

   Abilita l'API Logging

3. Assegna i seguenti ruoli IAM al account di servizio utilizzato dagli agent Stackdriver:

   • logging.logWriter
   • monitoring.metricWriter
   • stackdriver.resourceMetadata.writer
   • monitoring.dashboardEditor

Accesso a Cloud Audit Logs

gcloud logging read \
    'logName="projects/PROJECT_ID/logs/externalaudit.googleapis.com%2Factivity" \
    AND resource.type="k8s_cluster" \
    AND protoPayload.serviceName="anthosgke.googleapis.com" ' \
    --limit 2 \
    --freshness 300d

Criteri di audit

I criteri di controllo di Kubernetes definiscono le regole per gli eventi registrati come voci di log e specificano i dati che devono includere. La modifica di questo criterio per modificare il comportamento di Cloud Audit Logs non è supportata.