3.4. 安装后的任务

先决条件

• 用户必须具有 cluster-admin 角色、cluster-reader 角色或这两个角色，才能在 Kibana 中查看 infra 和 audit 索引。默认 kubeadmin 用户具有查看这些索引的权限。

  如果可以查看 default、kube- 和 openshift- 项目中的 pod 和日志，则应该可以访问这些索引。您可以使用以下命令检查当前用户是否有适当的权限：

  $ oc auth can-i get pods/log -n <project>

  Copy to Clipboard Toggle word wrap

  输出示例

  yes

  Copy to Clipboard Toggle word wrap

  注意

  默认情况下，审计日志不会存储在 OpenShift Container Platform 内部 Elasticsearch 实例中。要在 Kibana 中查看审计日志，您必须使用 Log Forward API 配置使用审计日志的 default 输出的管道。

• 在创建索引模式前，Elasticsearch 文档必须被索引。这会自动完成，但在一个新的或更新的集群中可能需要几分钟。

流程

• 如果您以多租户（multitenant）模式使用 OpenShift SDN，请加入这两个项目。例如：

  $ oc adm pod-network join-projects --to=openshift-operators-redhat openshift-logging

  Copy to Clipboard Toggle word wrap

• 否则，对于网络策略模式的 OpenShift SDN 以及 OVN-Kubernetes，请执行以下操作：

  1. 在 openshift-operators-redhat 命名空间中设置标签。例如：

     $ oc label namespace openshift-operators-redhat project=openshift-operators-redhat

     Copy to Clipboard Toggle word wrap

  2. 在 openshift-logging 命名空间中创建一个网络策略对象，它允许从 openshift-operators-redhat、openshift-monitoring 和 openshift-ingress 项目的入站流量到 openshift-logging 项目。例如：

     apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-openshift-monitoring-ingress-operators-redhat
     spec:
       ingress:
       - from:
         - podSelector: {}
       - from:
         - namespaceSelector:
             matchLabels:
               project: "openshift-operators-redhat"
       - from:
         - namespaceSelector:
             matchLabels:
               name: "openshift-monitoring"
       - from:
         - namespaceSelector:
             matchLabels:
               network.openshift.io/policy-group: ingress
       podSelector: {}
       policyTypes:
       - Ingress

     Copy to Clipboard Toggle word wrap