8.2. 配置审计日志策略

流程

1. 编辑 APIServer 资源：

   $ oc edit apiserver cluster

2. 更新 spec.audit.profile 字段：

     apiVersion: config.openshift.io/v1
     kind: APIServer
     metadata:
     ...
     spec:
       audit:
         profile: WriteRequestBodies 1

   1

   设置为 Default、WriteRequestBodies 或 AllRequestBodies。默认配置集为 Default。

3. 保存文件以使改变生效。

4. 验证是否已推出 Kubernetes API 服务器 pod 的新修订版本。这需要几分钟时间。

   $ oc get kubeapiserver -o=jsonpath='{range .items[0].status.conditions[?(@.type=="NodeInstallerProgressing")]}{.reason}{"\n"}{.message}{"\n"}'

   查看 Kubernetes API 服务器的 NodeInstallerProgressing 状态条件，以验证所有节点是否处于最新的修订版本。在更新成功后，输出会显示 AllNodesAtLatestRevision：

   AllNodesAtLatestRevision
   3 nodes are at revision 12 1

   1

   在本例中，最新的修订版本号为 12。

   如果输出显示的信息类似如下，这意味着更新仍在进行中。等待几分钟后重试。

   • 3 nodes are at revision 11; 0 nodes have achieved new revision 12
   • 2 nodes are at revision 11; 1 nodes are at revision 12