Red Hat Developer Hub の監査ログ

手順

1. OpenShift Container Platform クラスターにログインします。

2. OpenShift Logging Operator を openshift-logging namespace にインストールし、namespace に切り替えます。

   namespace に切り替えるコマンドの例

   oc project openshift-logging

   Copy to Clipboard

3. log-collector という名前の serviceAccount を作成し、collect-application-logs ロールを serviceAccount にバインドします。

   serviceAccount を作成するためのコマンド例

   oc create sa log-collector

   Copy to Clipboard

   ロールを serviceAccount にバインドするコマンドの例

   oc create clusterrolebinding log-collector --clusterrole=collect-application-logs --serviceaccount=openshift-logging:log-collector

   Copy to Clipboard

4. Splunk インスタンスで hecToken を生成します。

5. openshift-logging namespace にキー/値シークレットを作成し、そのシークレットを検証します。

   hecToken を使用してキー/値シークレットを作成するコマンドの例

   oc -n openshift-logging create secret generic splunk-secret --from-literal=hecToken=<HEC_Token>

   Copy to Clipboard

   秘密を検証するコマンドの例

   oc -n openshift-logging get secret/splunk-secret -o yaml

   Copy to Clipboard

6. 次のように、基本的な `ClusterLogForwarder` リソース YAML ファイルを作成します。

   `ClusterLogForwarder` リソースの YAML ファイルの例

   apiVersion: logging.openshift.io/v1
   kind: ClusterLogForwarder
   metadata:
     name: instance
     namespace: openshift-logging

   Copy to Clipboard

   詳細は、ログフォワーダーの作成 を参照してください。

7. OpenShift Web コンソールまたは OpenShift CLI を使用して、次の ClusterLogForwarder 設定を定義します。

   1. YAML ファイルで、log-collector を serviceAccount として指定します。

      serviceAccount 設定例

      serviceAccount:
        name: log-collector

      Copy to Clipboard

   2. 転送するログの種類とソースを指定するには、inputs を設定します。次の設定により、フォワーダーは指定された namespace 内のすべてのアプリケーションからログをキャプチャーできるようになります。

      inputs 設定の例

      inputs:
        - name: my-app-logs-input
          type: application
          application:
            includes:
              - namespace: my-rhdh-project
            containerLimit:
              maxRecordsPerSecond: 100

      Copy to Clipboard

      詳細は、特定の Pod からのアプリケーションログの転送 を参照してください。

   3. 出力を設定して、キャプチャーされたログの送信先を指定します。このステップでは、splunk タイプに焦点を当てます。Splunk エンドポイントが自己署名 TLS 証明書を使用する場合は tls.insecureSkipVerify オプションを使用するか (非推奨)、Secret を使用して証明書チェーンを提供できます。

      outputs 設定の例

      outputs:
        - name: splunk-receiver-application
          type: splunk
          splunk:
            authentication:
              token:
                key: hecToken
                secretName: splunk-secret
            index: main
            url: 'https://my-splunk-instance-url'
            rateLimit:
              maxRecordsPerSecond: 250

      Copy to Clipboard

      詳細は、OpenShift Container Platform ドキュメントの Splunk へのログの転送 を参照してください。

   4. オプション: 監査ログのみを含めるようにログをフィルタリングします。

      filters 設定例

      filters:
        - name: audit-logs-only
          type: drop
          drop:
            - test:
              - field: .message
                notMatches: isAuditLog

      Copy to Clipboard

      詳細は、OpenShift Container Platform ドキュメントの コンテンツによるログのフィルタリング を参照してください。

   5. 特定の入力から指定された出力にログをルーティングするようにパイプラインを設定します。定義された入力と出力の名前を使用して、各パイプラインで複数の inputRefs と outputRefs を指定します。

      pipelines 設定の例

      pipelines:
        - name: my-app-logs-pipeline
          detectMultilineErrors: true
          inputRefs:
            - my-app-logs-input
          outputRefs:
            - splunk-receiver-application
          filterRefs:
            - audit-logs-only

      Copy to Clipboard

8. ClusterLogForwarder 設定を適用するには、次のコマンドを実行します。

   ClusterLogForwarder 設定を適用するコマンドの例

   oc apply -f <ClusterLogForwarder-configuration.yaml>

   Copy to Clipboard

9. オプション: ログ損失のリスクを軽減するには、次のオプションを使用して ClusterLogForwarder Pod を設定します。

   1. ログコレクターのリソース要求と制限を次のように定義します。

      collector 設定の例

      collector:
        resources:
          requests:
            cpu: 250m
            memory: 64Mi
            ephemeral-storage: 250Mi
          limits:
            cpu: 500m
            memory: 128Mi
            ephemeral-storage: 500Mi

      Copy to Clipboard

   2. delivery、compression、RetryDuration など、ログ配信の tuning オプションを定義します。必要に応じて出力ごとにチューニングを適用できます。

      tuning 設定の例

      tuning:
        delivery: AtLeastOnce 

      1

      
        compression: none
        minRetryDuration: 1s
        maxRetryDuration: 10s

      Copy to Clipboard

      1

      AtLeastOnce 配信モードとは、ログフォワーダーがクラッシュしたり再起動したりした場合に、クラッシュ前に読み取られたにもかかわらず宛先に送信されなかったログが、再送信されることを意味します。クラッシュ後に一部のログが重複している可能性があります。

検証

1. Splunk ダッシュボードでログを表示して、ログが Splunk インスタンスに転送されていることを確認します。
2. 必要に応じて、OpenShift Container Platform と Splunk ログを使用して問題をトラブルシューティングします。