21.7. 使用 Podman 事件进行审核

流程

1. 修改 ~/.config/containers/containers.conf 文件，并将 events_container_create_inspect_data=true 选项添加到 [engine] 部分：

   $ cat ~/.config/containers/containers.conf
   [engine]
   events_container_create_inspect_data=true

   Copy to Clipboard Toggle word wrap

   对于系统范围的配置，修改 /etc/containers/containers.conf 或 /usr/share/container/containers.conf 文件。

2. 创建容器：

   $ podman create registry.access.redhat.com/ubi8/ubi:latest
   19524fe3c145df32d4f0c9af83e7964e4fb79fc4c397c514192d9d7620a36cd3

   Copy to Clipboard Toggle word wrap

3. 显示 Podman 事件：

   • 使用 podman events 命令：

     $ now=$(date --iso-8601=seconds)
     $ podman events --since $now --stream=false --format "{{.ContainerInspectData}}" | jq “.Config.CreateCommand"
     [
       "/usr/bin/podman",
       "create",
       "registry.access.redhat.com/ubi8"
     ]

     Copy to Clipboard Toggle word wrap
     • --format "{{.ContainerInspectData}}" 选项显示检查数据。
     • jq ".Config.CreateCommand" 将 JSON 数据转换为更易读的格式，并显示 podman create 命令的参数。

   • 使用 journalctl 命令：

     $ journalctl --user -r PODMAN_EVENT=create --all -o json | jq ".PODMAN_CONTAINER_INSPECT_DATA | fromjson" | jq ".Config.CreateCommand"
     [
       "/usr/bin/podman",
       "create",
       "registry.access.redhat.com/ubi8"
     ]

     Copy to Clipboard Toggle word wrap

     podman events 和 journalctl 命令的输出数据是一样的。