Use o registo da política de rede

Esta página explica como ativar o registo de políticas de rede num cluster do GKE e como exportar registos.

Vista geral

As políticas de rede são firewalls ao nível do pod. Especificam o tráfego de rede que os pods podem enviar e receber. Os registos de políticas de rede registam eventos de políticas de rede. Pode registar todos os eventos ou optar por registar eventos com base nos seguintes critérios:

  • Ligações permitidas.
  • Ligações recusadas.
  • Ligações permitidas por políticas específicas.
  • Ligações negadas a pods em espaços de nomes específicos.

Ativar registo

O registo da política de rede não está ativado por predefinição. Para obter informações sobre como ativar o registo e selecionar os eventos a registar, consulte o artigo Usar o registo de políticas de rede na documentação do Google Kubernetes Engine.

Aceder aos registos

Os registos de políticas de rede são carregados automaticamente para o Cloud Logging. Pode aceder aos registos através do Explorador de registos ou da CLI Google Cloud. Também pode exportar registos do Cloud Logging para o destino à sua escolha.

gcloud

gcloud logging read --project "PROJECT_NAME" 'resource.type="k8s_node" \
    resource.labels.location="CLUSTER_LOCATION" \
    resource.labels.cluster_name="azureClusters/CLUSTER_NAME" \
    logName="projects/PROJECT_NAME/logs/policy-action"'

Substitua o seguinte:

  • PROJECT_NAME: o seu Google Cloud projeto
  • CLUSTER_LOCATION: a localização a partir da qual o cluster é gerido Google Cloud
  • CLUSTER_NAME: o nome do seu cluster

Cloud Logging

  1. Aceda à página Explorador de registos na Google Cloud consola.

    Aceda ao Explorador de registos

  2. Clique em Criador de consultas.

  3. Use a seguinte consulta para encontrar todos os registos de registo da política de rede:

    resource.type="k8s_node"
resource.labels.location="CLUSTER_LOCATION"
resource.labels.cluster_name="azureClusters/CLUSTER_NAME"
logName="projects/PROJECT_NAME/logs/policy-action"

    Substitua o seguinte:

    • CLUSTER_LOCATION: a localização a partir da qual o cluster é gerido Google Cloud
    • CLUSTER_NAME: o nome do cluster.
    • PROJECT_NAME: o seu Google Cloud projeto.

Para saber como usar o Explorador de registos, consulte o artigo Usar o Explorador de registos.

Também pode criar uma consulta com o criador de consultas. Para consultar os registos de políticas de rede, selecione policy-action na lista pendente Nome do registo. Se não existirem registos disponíveis, policy-action não é apresentado na lista pendente.

Acesso local aos registos da política de rede

Se tiver acesso ao sistema de ficheiros de um nó, os registos da política de rede estão disponíveis em cada nó no ficheiro local /var/log/network/policy_action.log*. Os nós rodam os ficheiros de registo quando o ficheiro de registo atual atinge 10 MB. São armazenados até cinco ficheiros de registo anteriores.

O que se segue?