2

我正在尝试启用“审核”。https://kubernetes.io/docs/tasks/debug-application-cluster/audit/提到：

您可以使用 --audit-policy-file 标志将带有策略的文件传递给 kube-apiserver。如果省略该标志，则不记录任何事件。

我使用 kubeadm 来配置集群（总共在 3 个虚拟机中运行）。

但是，使用 kubeadm 时这个设置在哪里？我看不到它在哪里与 kube-apiserver 交互。

4

3 回答 3

4

Kubelet 和 kube-apiserver 是 Kubernetes 堆栈的完全不同的组件。

apiserver是Kubernetes Controlplane的一部分。Kubelet 本身实际上连接到 API Server。您感到困惑的是，API Server 通常作为 docker 容器运行，而这个 docker 容器可以由 kubelet 管理。

kubelet 可以通过两种方式运行容器：

  • 由控制平面决定（调度器发送的请求）
  • 作为目录下的 yaml 或 JSON 形式的静态清单（默认/etc/kubernetes/manifests

如果您使用的是 kubeadm，请查看此目录下的内容。您将看到一个 yaml 文件，其中包含 API 服务器的清单。您可以将您的 apiserver 标志添加到此清单中，它将使用新标志重新启动 API 服务器。

但是，如评论中所述，您使用的是kubeadm. 有一种正确的方法可以在升级后继续存在。如果您查看文档页面，kubeadm init您会看到有一个选项“将 kubeadm init 与配置文件一起使用”

所以你会写一个 yaml 配置文件，kubeadm它看起来有点像这样config.yaml：

apiVersion: kubeadm.k8s.io/v1alpha2
auditPolicy:
  logDir: /var/log/kubernetes/audit
  logMaxAge: 2
  path: ""

然后运行kubeadm init --config config.yaml

于 2018-07-30T22:15:00.533 回答
4

对于 Kubernetes 的最新版本，将其添加到该kind: ClusterConfiguration部分：

    apiServer:
      extraArgs:
        audit-log-path: /tmp/k8s-audit.log
        audit-policy-file: /etc/kubernetes/audit.yaml
        audit-log-maxage: "1"
        audit-log-maxsize: "100"
        audit-log-maxbackup: "1"
      extraVolumes:
        - name: audit
          hostPath: /host/audit.yaml
          mountPath: /etc/kubernetes/audit.yaml
          readOnly: true
          pathType: File

记录所有请求和响应正文的示例/host/audit.yaml文件：

apiVersion: audit.k8s.io/v1
kind: Policy
omitStages:
  - "ResponseStarted"
rules:
  - level: RequestResponse
于 2020-03-31T09:08:39.267 回答
1 
apiVersion: kubeadm.k8s.io/v1alpha2
api:
  advertiseAddress: 192.168.0.33
  bindPort: 6443
networking:
  podSubnet: "10.244.0.0/16"
featureGates:
  Auditing: true
auditPolicy:
  logDir: "/var/log/kubernetes/"
  logMaxAge: 20
  path: "/etc/kubernetes/audit.yaml"

和

cat /etc/kubernetes/audit.yaml

：

# Log all requests at the Metadata level.
apiVersion: audit.k8s.io/v1beta1
kind: Policy
rules:
- level: Metadata

在这里找到答案：https ://evalle.xyz/posts/how-to-enable-kubernetes-auditing-with-kubeadm/ 。

于 2018-08-01T17:42:45.463 回答