Usa audit logging

Questo documento descrive come utilizzare gli audit log di Cloud per i cluster Anthos su Bare Metal. I cluster Anthos su Bare Metal utilizzano l'audit logging di Kubernetes, che conserva un record cronologico delle chiamate effettuate al server API Kubernetes del cluster. Gli audit log sono utili per analizzare le richieste API sospette e per raccogliere statistiche.

Informazioni sugli audit log di Cloud

Gli audit log vengono scritti in Cloud Audit Logs nel tuo progetto Google Cloud. La scrittura in Cloud Audit Logs offre numerosi vantaggi rispetto alla scrittura su disco o all'acquisizione di log in un sistema di logging on-premise:

  • Gli audit log per tutti i cluster Anthos possono essere centralizzati.
  • Le voci di log scritte in Cloud Audit Logs sono immutabili.
  • Le voci degli audit log di Cloud vengono conservate per 400 giorni.
  • Gli audit log di Cloud sono inclusi nel prezzo di Anthos.
  • Puoi configurare i cluster Anthos su Bare Metal per scrivere i log su disco o su Cloud Audit Logs.

Audit logging basato su disco

Se gli audit log di Cloud sono disabilitati in modo esplicito, gli audit log nei cluster Anthos su Bare Metal vengono scritti su un disco permanente in modo che i cluster si riavviino e gli upgrade non causino la rimozione degli audit log. I cluster Anthos su Bare Metal conservano fino a 1 GiB di voci di log di controllo.

Accedi agli audit log basati su disco accedendo ai nodi del piano di controllo. I log si trovano nella directory /var/log/apiserver/.

Cloud Audit Logs

Le voci del log di controllo dell'attività di amministrazione di tutti i server API Kubernetes vengono inviate a Google Cloud utilizzando il progetto e la località specificati quando crei un cluster utente. Per eseguire il buffer e scrivere voci di log in Cloud Audit Logs, Cluster Anthos su Bare Metal esegue il deployment di un set di daemon audit-proxy eseguito sui nodi del piano di controllo.

Limitazioni

Gli audit log di Cloud per i cluster Anthos su Bare Metal presentano le seguenti limitazioni:

  • Il logging degli accessi ai dati non è supportato.
  • La modifica del criterio di controllo di Kubernetes non è supportata.
  • Gli audit log di Cloud non sono resilienti alle interruzioni di rete estese. Se le voci di log non possono essere esportate in Google Cloud, vengono memorizzate nella cache in un buffer di disco da 10 GiB. Se il buffer si riempie, vengono eliminate le voci meno recenti.

Creazione di un account di servizio per Cloud Audit Logs

Prima di poter utilizzare Cloud Logging e Cloud Monitoring con i cluster Anthos su Bare Metal, devi configurare quanto segue:

  1. Crea un'area di lavoro di Cloud Monitoring all'interno del progetto Google Cloud, se non ne hai già uno.

    Nella console Google Cloud, fai clic sul pulsante seguente e segui il flusso di lavoro.

    Vai a Monitoring

  2. Fai clic sui seguenti pulsanti per abilitare le API richieste:

    Abilita l'API Anthos Audit

    Abilita l'API Stackdriver

    Abilita l'API Monitoring

    Abilita l'API Logging

  3. Assegna i seguenti ruoli IAM all'account di servizio utilizzato dagli agenti Stackdriver:

    • logging.logWriter
    • monitoring.metricWriter
    • stackdriver.resourceMetadata.writer
    • monitoring.dashboardEditor

Accesso agli audit log di Cloud

console

  1. Nella console Google Cloud, vai alla pagina Esplora log nel menu Logging.

    Vai a Esplora log

    Se viene visualizzata la pagina Visualizzatore log legacy, scegli Esegui l'upgrade al nuovo Esplora log dal menu a discesa Esegui l'upgrade.

  2. Fai clic su Query per accedere alla casella di testo per inviare le query.

  3. Compila la casella di testo con la seguente query:

    resource.type="k8s_cluster"
logName="projects/PROJECT_ID/logs/externalaudit.googleapis.com%2Factivity"
protoPayload.serviceName="anthosgke.googleapis.com"

    Sostituisci PROJECT_ID con l'ID progetto.

  4. Fai clic su Esegui query per visualizzare tutti gli audit log dei cluster Anthos sui cluster bare metal configurati per accedere a questo progetto.

gcloud

Elenca le prime due voci di log nel log Attività dell'amministratore del tuo progetto che si applicano al tipo di risorsa k8s_cluster:

gcloud logging read \
    'logName="projects/PROJECT_ID/logs/externalaudit.googleapis.com%2Factivity" \
    AND resource.type="k8s_cluster" \
    AND protoPayload.serviceName="anthosgke.googleapis.com" ' \
    --limit 2 \
    --freshness 300d

Sostituisci PROJECT_ID con l'ID progetto.

L'output mostra due voci di log. Tieni presente che per ogni voce di log, il valore del campo logName ha il valore projects/PROJECT_ID/logs/externalaudit.googleapis.com%2Factivity e protoPayload.serviceName è uguale a anthosgke.googleapis.com.

Criteri di audit

Il criterio di controllo di Kubernetes definisce le regole per quali eventi vengono registrati come voci di log e specifica quali dati devono essere inclusi nelle voci di log. La modifica di questo criterio per modificare il comportamento degli audit log di Cloud non è attualmente supportata.