監査ログ

手順

1. OpenShift Container Platform クラスターにログインします。

2. OpenShift Logging Operator を openshift-logging namespace にインストールし、namespace に切り替えます。

   namespace に切り替えるコマンドの例

   oc project openshift-logging

   Copy to Clipboard Toggle word wrap

3. log-collector という名前の serviceAccount を作成し、collect-application-logs ロールを serviceAccount にバインドします。

   serviceAccount を作成するためのコマンド例

   oc create sa log-collector

   Copy to Clipboard Toggle word wrap

   ロールを serviceAccount にバインドするコマンドの例

   oc create clusterrolebinding log-collector --clusterrole=collect-application-logs --serviceaccount=openshift-logging:log-collector

   Copy to Clipboard Toggle word wrap

4. Splunk インスタンスで hecToken を生成します。

5. openshift-logging namespace にキー/値シークレットを作成し、そのシークレットを検証します。

   hecToken を使用してキー/値シークレットを作成するコマンドの例

   oc -n openshift-logging create secret generic splunk-secret --from-literal=hecToken=<HEC_Token>

   Copy to Clipboard Toggle word wrap

   秘密を検証するコマンドの例

   oc -n openshift-logging get secret/splunk-secret -o yaml

   Copy to Clipboard Toggle word wrap

6. 次のように、基本的な `ClusterLogForwarder` リソース YAML ファイルを作成します。

   `ClusterLogForwarder` リソースの YAML ファイルの例

   apiVersion: logging.openshift.io/v1
   kind: ClusterLogForwarder
   metadata:
     name: instance
     namespace: openshift-logging

   Copy to Clipboard Toggle word wrap

   詳細は、ログフォワーダーの作成 を参照してください。

7. OpenShift Web コンソールまたは OpenShift CLI を使用して、次の ClusterLogForwarder 設定を定義します。

   1. YAML ファイルで、log-collector を serviceAccount として指定します。

      serviceAccount 設定例

      serviceAccount:
        name: log-collector

      Copy to Clipboard Toggle word wrap

   2. 転送するログの種類とソースを指定するには、inputs を設定します。次の設定により、フォワーダーは指定された namespace 内のすべてのアプリケーションからログをキャプチャーできるようになります。

      inputs 設定の例

      inputs:
        - name: my-app-logs-input
          type: application
          application:
            includes:
              - namespace: my-rhdh-project
            containerLimit:
              maxRecordsPerSecond: 100

      Copy to Clipboard Toggle word wrap

      詳細は、特定の Pod からのアプリケーションログの転送 を参照してください。

   3. 出力を設定して、キャプチャーされたログの送信先を指定します。このステップでは、splunk タイプに焦点を当てます。Splunk エンドポイントが自己署名 TLS 証明書を使用する場合は tls.insecureSkipVerify オプションを使用するか (非推奨)、Secret を使用して証明書チェーンを提供できます。

      outputs 設定の例

      outputs:
        - name: splunk-receiver-application
          type: splunk
          splunk:
            authentication:
              token:
                key: hecToken
                secretName: splunk-secret
            index: main
            url: 'https://my-splunk-instance-url'
            rateLimit:
              maxRecordsPerSecond: 250

      Copy to Clipboard Toggle word wrap

      詳細は、OpenShift Container Platform ドキュメントの Splunk へのログの転送 を参照してください。

   4. オプション: 監査ログのみを含めるようにログをフィルタリングします。

      filters 設定例

      filters:
        - name: audit-logs-only
          type: drop
          drop:
            - test:
              - field: .message
                notMatches: isAuditLog

      Copy to Clipboard Toggle word wrap

      詳細は、OpenShift Container Platform ドキュメントの コンテンツによるログのフィルタリング を参照してください。

   5. 特定の入力から指定された出力にログをルーティングするようにパイプラインを設定します。定義された入力と出力の名前を使用して、各パイプラインで複数の inputRefs と outputRefs を指定します。

      pipelines 設定の例

      pipelines:
        - name: my-app-logs-pipeline
          detectMultilineErrors: true
          inputRefs:
            - my-app-logs-input
          outputRefs:
            - splunk-receiver-application
          filterRefs:
            - audit-logs-only

      Copy to Clipboard Toggle word wrap

8. ClusterLogForwarder 設定を適用するには、次のコマンドを実行します。

   ClusterLogForwarder 設定を適用するコマンドの例

   oc apply -f <ClusterLogForwarder-configuration.yaml>

   Copy to Clipboard Toggle word wrap

9. オプション: ログ損失のリスクを軽減するには、次のオプションを使用して ClusterLogForwarder Pod を設定します。

   1. ログコレクターのリソース要求と制限を次のように定義します。

      collector 設定の例

      collector:
        resources:
          requests:
            cpu: 250m
            memory: 64Mi
            ephemeral-storage: 250Mi
          limits:
            cpu: 500m
            memory: 128Mi
            ephemeral-storage: 500Mi

      Copy to Clipboard Toggle word wrap

   2. delivery、compression、RetryDuration など、ログ配信の tuning オプションを定義します。必要に応じて出力ごとにチューニングを適用できます。

      tuning 設定の例

      tuning:
        delivery: AtLeastOnce 

      1

      
        compression: none
        minRetryDuration: 1s
        maxRetryDuration: 10s

      Copy to Clipboard Toggle word wrap

      1

      AtLeastOnce 配信モードとは、ログフォワーダーがクラッシュしたり再起動したりした場合に、クラッシュ前に読み取られたが宛先に送信されなかったログが、再送信されることを意味します。クラッシュ後に一部のログが重複している可能性があります。

検証

1. Splunk ダッシュボードでログを表示して、ログが Splunk インスタンスに転送されていることを確認します。
2. 必要に応じて、OpenShift Container Platform と Splunk ログを使用して問題をトラブルシューティングします。