מנהל המשאבים (RM)

יומני הביקורת של מנהל המשאבים (RM) ב-Google Distributed Cloud (GDC)‎ עם air gap מאפשרים לעקוב אחרי פעולות ניהוליות במשאבי הפרויקט בעומסי עבודה ברמה הבסיסית (root) וברמת הארגון. ביומני הביקורת של Kubernetes מתועדים זהות המשתמש או השירות, ה-URI של בקשת היעד ושדות המטען הייעודי (payload) בפורמט JSON של פעולות ה-API של מודל המשאבים של Kubernetes‏ (KRM) בשרת ה-API לניהול.

מיקום עומס העבודה

עומסי עבודה ברמת הבסיס וברמת הארגון
מקור יומן הביקורת

יומני ביקורת של Kubernetes
פעולות מבוקרות

יומני ביקורת של מישור הניהול של KRM ניהול ממשקי API (פרויקט)

שדות ברשומה ביומן שמכילים מידע על הביקורת
מטא-נתונים של ביקורת שם השדה ביומן הביקורת ערך
זהות המשתמש או השירות username

לדוגמה,

"username":system:serviceaccount:gpc-system:fleet-admin-controller"

Target

(שדות וערכים ששולחים קריאה ל-API)

 requestURI

"apis/resourcemanager.gdc.goog/v1/namespaces/ gpc-system/projects/istio-system

פעולה

(שדות שמכילים את הפעולה שבוצעה)

 verb

"verb":"update"

חותמת הזמן של האירוע requestReceivedTimestamp

לדוגמה,

"requestReceivedTimestamp": "2022-12-22T15:46:41.028873Z"

מקור הפעולה sourceIPs

לדוגמה,

"sourceIPs":["10.253.128.178"],
תוצאה stage

לדוגמה,

"stage": "ResponseComplete"
שדות אחרים
  • kind
  • objectRef

לדוגמה,

"kind": "Event",
"objectRef": {
      "name": "istio-system",
      "apiVersion": "v1",
      "apiGroup": "resourcemanager.gdc.goog",
      "resourceVersion": "7812139",
      "resource": "projects",
      "uid": "7d3a3bb1-a0be-4c5c-980b-f9cd3632f6e3",
      "namespace": "gpc-system"
  },

יומן לדוגמה

{
    "stage": "ResponseComplete",
    "apiVersion": "audit.k8s.io/v1",
    "objectRef": {
      "name": "istio-system",
      "apiVersion": "v1",
      "apiGroup": "resourcemanager.gdc.goog",
      "resourceVersion": "7812139",
      "resource": "projects",
      "uid": "7d3a3bb1-a0be-4c5c-980b-f9cd3632f6e3",
      "namespace": "gpc-system"
    },
    "requestReceivedTimestamp": "2022-12-22T15:46:41.028873Z",
    "sourceIPs": [
      "10.253.128.178"
    ],
    "annotations": {
      "authorization.k8s.io/decision": "allow",
      "authorization.k8s.io/reason": "RBAC: allowed by ClusterRoleBinding \"fleet-admin-common-controller\" of ClusterRole \"fleet-admin-common-controllers-role\" to ServiceAccount \"fleet-admin-controller/gpc-system\"",
      "mutation.webhook.admission.k8s.io/round_0_index_5": "{\"configuration\":\"gatekeeper-mutating-webhook-configuration\",\"webhook\":\"mutation.gatekeeper.sh\",\"mutated\":false}"
    },
    "_gdch_cluster": "root-admin",
    "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-t4rld",
    "user": {
      "uid": "da8e839f-eca4-4a96-9058-94fa4202824f",
      "extra": {
        "authentication.kubernetes.io/pod-uid": [
          "09335650-82b0-451c-83e2-f8157e9d518c"
        ],
        "authentication.kubernetes.io/pod-name": [
          "fleet-admin-controller-75dbdf7659-ccfrn"
        ]
      },
      "groups": [
        "system:serviceaccounts",
        "system:serviceaccounts:gpc-system",
        "system:authenticated"
      ],
      "username": "system:serviceaccount:gpc-system:fleet-admin-controller"
    },
    "stageTimestamp": "2022-12-22T15:46:41.119767Z",
    "kind": "Event",
    "verb": "update",
    "requestURI": "/apis/resourcemanager.gdc.goog/v1/namespaces/gpc-system/projects/istio-system",
    "responseStatus": {
      "metadata": {},
      "code": 200
    },
    "userAgent": "fleet-admin-cm/v0.0.0 (linux/amd64) kubernetes/$Format",
    "auditID": "5aeaeab6-7371-4b63-8355-b4469e1440bb",
    "level": "Metadata",
    "_gdch_service_name": "apiserver",
    "_gdch_tenant_id": "infra-obs"
  }