k8s启用审计日志为什么不能创建pod了

Question

启用审计日志可以帮助集群管理员快速的定位问题。请启用 Kubernetes 集群的审计日志，要求以 JSON 格式保存审计日志并输出到
/etc/kubernetes/audit-logs/audit.log 文件中，日志最多保留 10 天，单个日志文件不超过 500M。然后编写审计策略文件/etc/kubernetes/audit-policy/policy.yaml，要求在日志中用 RequestResponse 级别记录 Pod 变化，并记录 kube-system 中 ConfigMap 变更的请求消息体。
博主们帮忙看一下谢谢

Answer 1

【以下回答由 GPT 生成】

回答:

要解决这个问题，您可以按照以下步骤进行操作：

1. 首先，检查您的Kubernetes集群是否已正确配置为启用审计日志功能。您可以使用以下命令确认：

bash $ kubectl cluster-info dump | grep audit

检查输出中是否包含以下行来确认审计日志已启用：

... --audit-log-path=/etc/kubernetes/audit-logs/audit.log ...

如果未找到此配置，您需要修改相应的Kubernetes配置文件，如kube-apiserver配置文件，并添加或修改--audit-log-path参数。

1. 确保/etc/kubernetes/audit-logs/audit.log文件已经存在，并具备写入权限。如果文件不存在，您可以通过以下命令创建它：

bash $ sudo touch /etc/kubernetes/audit-logs/audit.log $ sudo chmod 666 /etc/kubernetes/audit-logs/audit.log

如果文件已存在，但权限不正确，您可以使用以下命令更改权限：

bash $ sudo chmod 666 /etc/kubernetes/audit-logs/audit.log

1. 您可以使用Kubernetes的kube-apiserver配置文件中的--audit-log-maxage参数来设置审计日志的保留天数。默认值为30天，如果您想将其更改为10天，您可以找到该配置并将其设置为：

bash --audit-log-maxage=10

1. 对于单个日志文件大小的限制，Kubernetes并没有提供内置的配置选项。为了解决这个问题，您可以使用logrotate工具来为审计日志文件设置大小限制。首先，使用以下命令安装logrotate工具：

bash $ sudo apt-get install logrotate

然后，创建一个名为/etc/logrotate.d/kubernetes-audit-logs的文件，并将以下内容复制到该文件中：

bash /etc/kubernetes/audit-logs/audit.log { size 500M copytruncate rotate 10 compress missingok notifempty }

这将设置/etc/kubernetes/audit-logs/audit.log文件的大小限制为500M，并在文件大小达到限制时进行旋转。在旋转的过程中，旧的审计日志文件将被压缩并重命名为audit.log.1.gz，而新的日志将从空文件开始写入。

1. 关于审计策略文件policy.yaml，您需要确保文件路径和名称的正确性，并且该文件中定义的策略按照您的需求进行配置。示例策略文件如下：

yaml apiVersion: audit.k8s.io/v1beta1 kind: Policy rules: - level: RequestResponse resources: - group: "" resources: ["pods"] - level: Metadata resources: - group: "" resources: ["configmaps"]

该策略文件会以RequestResponse级别记录Pod的变化，以及以Metadata级别记录kube-system中ConfigMap的变更请求消息体。将此文件保存为/etc/kubernetes/audit-policy/policy.yaml。

1. 最后，确保Kubernetes集群中的kube-apiserver服务已重启，以使新的配置和策略生效。您可以使用以下命令重启该服务：

bash $ sudo systemctl restart kube-apiserver

通过按照上述步骤操作，您应该能够启用并配置Kubernetes集群的审计日志功能，并且能够成功创建新的Pod。如果您遇到任何问题，请随时向我提问。

如果你已经解决了该问题, 非常希望你能够分享一下解决方案, 写成博客, 将相关链接放在评论区, 以帮助更多的人 ^-^