Resource Manager（RM）

Google Distributed Cloud（GDC）エアギャップの Resource Manager（RM）監査ログを使用すると、ルート ワークロードと組織ワークロードのプロジェクト リソースに対する管理アクションを追跡できます。Kubernetes 監査ログには、管理 API サーバーでの Kubernetes Resource Model（KRM）API オペレーションのユーザーまたはサービス ID、ターゲット リクエスト URI、JSON ペイロード フィールドが記録されます。

ワークロードのロケーション

ルート ワークロードと組織ワークロード
監査ログのソース

Kubernetes 監査ログ
監査対象のオペレーション

KRM API 管理プレーン監査ログ（プロジェクト）

監査情報を含むログエントリのフィールド
監査メタデータ 監査フィールド名 値
ユーザーまたはサービス ID username

たとえば

"username":system:serviceaccount:gpc-system:fleet-admin-controller"

ターゲット

（API を呼び出すフィールドと値）

 requestURI

"apis/resourcemanager.gdc.goog/v1/namespaces/ gpc-system/projects/istio-system

操作

（実行されたオペレーションを含むフィールド）

 verb

"verb":"update"

イベント タイムスタンプ requestReceivedTimestamp

たとえば

"requestReceivedTimestamp": "2022-12-22T15:46:41.028873Z"

アクションのソース sourceIPs

たとえば

"sourceIPs":["10.253.128.178"],
Outcome stage

たとえば

"stage": "ResponseComplete"
その他のフィールド
  • kind
  • objectRef

たとえば

"kind": "Event",
"objectRef": {
      "name": "istio-system",
      "apiVersion": "v1",
      "apiGroup": "resourcemanager.gdc.goog",
      "resourceVersion": "7812139",
      "resource": "projects",
      "uid": "7d3a3bb1-a0be-4c5c-980b-f9cd3632f6e3",
      "namespace": "gpc-system"
  },

サンプルログ

{
    "stage": "ResponseComplete",
    "apiVersion": "audit.k8s.io/v1",
    "objectRef": {
      "name": "istio-system",
      "apiVersion": "v1",
      "apiGroup": "resourcemanager.gdc.goog",
      "resourceVersion": "7812139",
      "resource": "projects",
      "uid": "7d3a3bb1-a0be-4c5c-980b-f9cd3632f6e3",
      "namespace": "gpc-system"
    },
    "requestReceivedTimestamp": "2022-12-22T15:46:41.028873Z",
    "sourceIPs": [
      "10.253.128.178"
    ],
    "annotations": {
      "authorization.k8s.io/decision": "allow",
      "authorization.k8s.io/reason": "RBAC: allowed by ClusterRoleBinding \"fleet-admin-common-controller\" of ClusterRole \"fleet-admin-common-controllers-role\" to ServiceAccount \"fleet-admin-controller/gpc-system\"",
      "mutation.webhook.admission.k8s.io/round_0_index_5": "{\"configuration\":\"gatekeeper-mutating-webhook-configuration\",\"webhook\":\"mutation.gatekeeper.sh\",\"mutated\":false}"
    },
    "_gdch_cluster": "root-admin",
    "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-t4rld",
    "user": {
      "uid": "da8e839f-eca4-4a96-9058-94fa4202824f",
      "extra": {
        "authentication.kubernetes.io/pod-uid": [
          "09335650-82b0-451c-83e2-f8157e9d518c"
        ],
        "authentication.kubernetes.io/pod-name": [
          "fleet-admin-controller-75dbdf7659-ccfrn"
        ]
      },
      "groups": [
        "system:serviceaccounts",
        "system:serviceaccounts:gpc-system",
        "system:authenticated"
      ],
      "username": "system:serviceaccount:gpc-system:fleet-admin-controller"
    },
    "stageTimestamp": "2022-12-22T15:46:41.119767Z",
    "kind": "Event",
    "verb": "update",
    "requestURI": "/apis/resourcemanager.gdc.goog/v1/namespaces/gpc-system/projects/istio-system",
    "responseStatus": {
      "metadata": {},
      "code": 200
    },
    "userAgent": "fleet-admin-cm/v0.0.0 (linux/amd64) kubernetes/$Format",
    "auditID": "5aeaeab6-7371-4b63-8355-b4469e1440bb",
    "level": "Metadata",
    "_gdch_service_name": "apiserver",
    "_gdch_tenant_id": "infra-obs"
  }