Registros de auditoría de Cloud

Descripción general

GKE en Azure admite el registro de auditoría a nivel de la API de Cloud y del clúster de Kubernetes. En este documento, se proporciona información sobre el registro de auditoría del clúster de Kubernetes. Para obtener información sobre el registro de auditoría de la API de Cloud, consulta Información de registro de auditoría de la API de Cloud.

GKE en Azure usa el registro de auditoría de Kubernetes, que mantiene un registro cronológico de las llamadas realizadas al servidor de la API de Kubernetes de un clúster. Los registros de auditoría son útiles para investigar solicitudes a la API sospechosas y recopilar estadísticas.

En las versiones del clúster 1.23 y posteriores, GKE on Azure escribe Registros de auditoría de Cloud en un proyecto de Google Cloud de forma predeterminada. La escritura en Registros de auditoría de Cloud tiene los siguientes beneficios:

  • Los registros de auditoría para todos los clústeres de GKE pueden centralizarse.
  • Las entradas de registro escritas en los registros de auditoría de Cloud son inmutables.
  • Las entradas de los registros de auditoría de Cloud se retienen durante 400 días.
  • Los registros de auditoría de Cloud se incluyen en el precio de Anthos.

Limitaciones

La versión actual de los Registros de auditoría de Cloud para GKE en Azure tiene varias limitaciones:

  • No se admite el registro de acceso a los datos (solicitudes get, list y watch).

  • No se admite la modificación de la política de auditoría de Kubernetes.

  • Los registros de auditoría de Cloud no es resiliente a las interrupciones de red ampliada. Si las entradas de registro no se pueden exportar a Google Cloud, se almacenan en caché en un búfer de disco de 10 G. Si se completa ese búfer, se descartan las entradas posteriores.

Política de auditoría

El comportamiento de los registros de auditoría de Cloud se determina mediante una política de registro de auditoría de Kubernetes configurada de manera estática. Por el momento, no se admite el cambio de esta política, pero estará disponible en una versión futura.

Accede a los Registros de auditoría de Cloud

Puedes acceder a los registros de auditoría de Cloud en la consola de Google Cloud o con Google Cloud CLI.

Console

  1. En la consola de Google Cloud, ve a la página Explorador de registros en el menú de Logging.

    Ir a la página Registros

  2. Haz clic en el botón de activación Mostrar consulta.

  3. Completa el cuadro de texto con el siguiente filtro:

    resource.type="k8s_cluster"
logName="projects/PROJECT_ID/logs/externalaudit.googleapis.com%2Factivity"

    La pantalla se ve de la siguiente manera:

    Explorador de registros con la opción Mostrar consulta activada y propagada

  4. Haz clic en Ejecutar consulta a fin de mostrar todos los registros de auditoría de GKE en los clústeres de Azure que se configuraron para acceder a este proyecto.

gcloud

Enumera las dos primeras entradas en el registro de actividad de administrador de tu proyecto que se aplican al tipo de recurso k8s_cluster:

gcloud logging read \
    'logName="projects/PROJECT_ID/logs/externalaudit.googleapis.com%2Factivity"
    AND resource.type="k8s_cluster" ' \
    --limit 2 \
    --freshness 300d

En el ejemplo anterior, PROJECT_ID es el ID del proyecto.

Los resultados muestran dos entradas de registro. Ten en cuenta que para cada entrada de registro, el campo logName tiene el valor projects/PROJECT_ID/logs/externalaudit.googleapis.com%2Factivity, y protoPayload.serviceName es igual a gkemulticloud.googleapis.com.