7.9. Advanced Audit Logging Framework

kubectl exec、oc exec、oc rsh、および oc debug コマンドは、コンテナー上の exec セッションにユーザー認証の詳細を渡しません。そのため、ホスト上の操作によって引き起こされた Kubernetes ユーザーの操作を関連付けることが困難になります。SPO の監査ロガーは、Kubernetes API サーバーからのリクエスト UID を環境変数としてセッションに注入する Mutating Webhook を使用することで、この問題に対処しています。新しい exec セッションを開始するリクエストを含め、API サーバーへのすべてのリクエストには、リクエスト UID が付与されます。このリクエスト UID は、Advanced Audit Logging Framework によってログに記録されます。リクエスト ID は、アクティビティーを API サーバーの監査ログと関連付けるために使用され、ノード内に監査証跡を提供します。

Advanced Audit Logging Framework が追加されたことで、現在 SPO には以下の 2 つのユースケースがあります。

特権的な seccompProfile 設定の使用は、ノード監査の場合にのみ必要です。