Red Hat Developer Hub 中的审计日志

流程

1. 登录您的 OpenShift Container Platform 集群。

2. 在 openshift-logging 命名空间中安装 OpenShift Logging Operator 并切换到命名空间：

   切换到命名空间的命令示例

   oc project openshift-logging

   Copy to Clipboard Toggle word wrap

3. 创建名为 log-collector 的 serviceAccount，并将 collect-application-logs 角色绑定到 serviceAccount ：

   创建 serviceAccount的命令示例

   oc create sa log-collector

   Copy to Clipboard Toggle word wrap

   将角色绑定到 serviceAccount的命令示例

   oc create clusterrolebinding log-collector --clusterrole=collect-application-logs --serviceaccount=openshift-logging:log-collector

   Copy to Clipboard Toggle word wrap

4. 在 Splunk 实例中生成 hecToken。

5. 在 openshift-logging 命名空间中创建 key/value secret 并验证 secret：

   使用 hecToken创建键/值 secret 的命令示例

   oc -n openshift-logging create secret generic splunk-secret --from-literal=hecToken=<HEC_Token>

   Copy to Clipboard Toggle word wrap

   验证 secret 的命令示例

   oc -n openshift-logging get secret/splunk-secret -o yaml

   Copy to Clipboard Toggle word wrap

6. 创建一个基本的 'ClusterLogForwarder' 资源 YAML 文件，如下所示：

   'ClusterLogForwarder'resource YAML 文件示例

   apiVersion: logging.openshift.io/v1
   kind: ClusterLogForwarder
   metadata:
     name: instance
     namespace: openshift-logging

   Copy to Clipboard Toggle word wrap

   如需更多信息，请参阅创建日志转发器。

7. 使用 OpenShift Web 控制台或 OpenShift CLI 定义以下 ClusterLogForwarder 配置：

   1. 在 YAML 文件中将 log-collector 指定为 serviceAccount ：

      serviceAccount 配置示例

      serviceAccount:
        name: log-collector

      Copy to Clipboard Toggle word wrap

   2. 配置 输入 以指定要转发的日志的类型和源。以下配置可让转发器从提供命名空间中的所有应用程序捕获日志：

      输入 配置示例

      inputs:
        - name: my-app-logs-input
          type: application
          application:
            includes:
              - namespace: my-rhdh-project
            containerLimit:
              maxRecordsPerSecond: 100

      Copy to Clipboard Toggle word wrap

      如需更多信息，请参阅 从特定 pod 转发应用程序日志。

   3. 配置输出，以指定发送捕获的日志的位置。在这一步中，着重介绍 mvapich 类型。如果 Splunk 端点使用自签名 TLS 证书（不推荐）或使用 Secret 提供证书链，您可以使用 tls.insecureSkipVerify 选项。

      输出 配置示例

      outputs:
        - name: splunk-receiver-application
          type: splunk
          splunk:
            authentication:
              token:
                key: hecToken
                secretName: splunk-secret
            index: main
            url: 'https://my-splunk-instance-url'
            rateLimit:
              maxRecordsPerSecond: 250

      Copy to Clipboard Toggle word wrap

      如需更多信息，请参阅 OpenShift Container Platform 文档中的 将日志转发到 Splunk。

   4. 可选：过滤日志以只包含审计日志：

      过滤器 配置示例

      filters:
        - name: audit-logs-only
          type: drop
          drop:
            - test:
              - field: .message
                notMatches: isAuditLog

      Copy to Clipboard Toggle word wrap

      如需更多信息，请参阅 OpenShift Container Platform 文档中的 按内容 过滤日志。

   5. 配置管道，将日志从特定输入路由到指定的输出。使用定义的输入和输出的名称为每个管道指定多个 inputRefs 和 outputRefs ：

      管道 配置示例

      pipelines:
        - name: my-app-logs-pipeline
          detectMultilineErrors: true
          inputRefs:
            - my-app-logs-input
          outputRefs:
            - splunk-receiver-application
          filterRefs:
            - audit-logs-only

      Copy to Clipboard Toggle word wrap

8. 运行以下命令以应用 ClusterLogForwarder 配置：

   应用 ClusterLogForwarder 配置示例

   oc apply -f <ClusterLogForwarder-configuration.yaml>

   Copy to Clipboard Toggle word wrap

9. 可选： 要降低日志丢失的风险，请使用以下选项配置 ClusterLogForwarder pod：

   1. 为日志收集器定义资源请求和限值，如下所示：

      收集器 配置示例

      collector:
        resources:
          requests:
            cpu: 250m
            memory: 64Mi
            ephemeral-storage: 250Mi
          limits:
            cpu: 500m
            memory: 128Mi
            ephemeral-storage: 500Mi

      Copy to Clipboard Toggle word wrap

   2. 定义日志交付的 调优选项，包括 交付、压缩 和 RetryDuration。可以根据需要按输出应用调优。

      调优 配置示例

      tuning:
        delivery: AtLeastOnce 

      1

      
        compression: none
        minRetryDuration: 1s
        maxRetryDuration: 10s

      Copy to Clipboard Toggle word wrap

      1

      AtLeastOnce 交付模式意味着，如果日志转发器崩溃或重启，任何在崩溃前读取的日志都会重新发送到其目的地。有些日志可能会在崩溃后重复。

验证

1. 通过在 Splunk 仪表板中查看日志，以确认日志被转发到 Splunk 实例。
2. 根据需要使用 OpenShift Container Platform 和 Splunk 日志排除任何问题。