3.4. インストール後のタスク

前提条件

• Kibana で infra および audit インデックスを表示するには、ユーザーには cluster-admin ロール、 cluster-reader ロール、または両方のロールが必要です。デフォルトの kubeadmin ユーザーには、これらのインデックスを表示するための適切なパーミッションがあります。

  default、kube- および openshift- プロジェクトで Pod およびログを表示できる場合、これらのインデックスにアクセスできるはずです。以下のコマンドを使用して、現在のユーザーが適切なパーミッションを持っているかどうかを確認することができます。

  $ oc auth can-i get pods/log -n <project>

  出力例

  yes

  注記

  監査ログは、デフォルトでは内部 OpenShift Container Platform Elasticsearch インスタンスに保存されません。Kibana で監査ログを表示するには、ログ転送 API を使用して監査ログの default 出力を使用するパイプラインを設定する必要があります。

• Elasticsearch ドキュメントは、インデックスパターンを作成する前にインデックス化する必要があります。これは自動的に実行されますが、新規または更新されたクラスターでは数分の時間がかかる可能性があります。

手順

• multitenant モードで OpenShift SDN を使用している場合は、2 つのプロジェクトに参加します。以下に例を示します。

  $ oc adm pod-network join-projects --to=openshift-operators-redhat openshift-logging

• または、network policy の OpenShift SDN および OVN-Kubernetes の場合は、以下の操作を実行します。

  1. openshift-operators-redhat namespace にラベルを設定します。以下に例を示します。

     $ oc label namespace openshift-operators-redhat project=openshift-operators-redhat

  2. openshift-operators-redhat、openshift-monitoring、およびopenshift-ingressプロジェクトから openshift-logging プロジェクトへの入力を許可する、openshift-logging namespace にネットワークポリシーオブジェクトを作成します。以下に例を示します。

     apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-openshift-monitoring-ingress-operators-redhat
     spec:
       ingress:
       - from:
         - podSelector: {}
       - from:
         - namespaceSelector:
             matchLabels:
               project: "openshift-operators-redhat"
       - from:
         - namespaceSelector:
             matchLabels:
               name: "openshift-monitoring"
       - from:
         - namespaceSelector:
             matchLabels:
               network.openshift.io/policy-group: ingress
       podSelector: {}
       policyTypes:
       - Ingress