第6章 監査ログの確認

手順

1. ノード名を取得するために、次のコマンドを実行します。

   $ <node_name>=$(oc get node -ojsonpath='{.items[0].metadata.name}')

   Copy to Clipboard Toggle word wrap

2. 監査ログを表示するために、次のコマンドを実行します。

   $ oc adm node-logs <node_name> --path=kube-apiserver/ 

   1

   Copy to Clipboard Toggle word wrap

   1

   <node_name> を、前の手順で取得したノードの名前に置き換えます。

   出力例

   rhel-94.lab.local audit-2024-10-18T18-25-41.663.log
   rhel-94.lab.local audit-2024-10-19T11-21-29.225.log
   rhel-94.lab.local audit-2024-10-20T04-16-09.622.log
   rhel-94.lab.local audit-2024-10-20T21-11-41.163.log
   rhel-94.lab.local audit-2024-10-21T14-06-10.402.log
   rhel-94.lab.local audit-2024-10-22T06-35-10.392.log
   rhel-94.lab.local audit-2024-10-22T23-26-27.667.log
   rhel-94.lab.local audit-2024-10-23T16-52-15.456.log
   rhel-94.lab.local audit-2024-10-24T07-31-55.238.log

   Copy to Clipboard Toggle word wrap

3. 該当する監査ログを解析するために、次のコマンドを入力します。

   $ oc adm node-logs <node_name> --path=kube-apiserver/audit.log \
     | jq -r 'select((.annotations["pod-security.kubernetes.io/audit-violations"] != null) and (.objectRef.resource=="pods")) | .objectRef.namespace + " " + .objectRef.name + " " + .objectRef.resource' \
     | sort | uniq -c 

   1

   Copy to Clipboard Toggle word wrap

   1

   <node_name> を、前の手順で取得したノードの名前に置き換えます。