Surveiller les événements d’audit Kubernetes

> S’applique à : AKS sur Azure Local, AKS activé par Azure Arc sur VMware (préversion)

Vous pouvez accéder aux journaux d’audit Kubernetes dans les journaux du plan de contrôle Kubernetes. Les journaux du plan de contrôle pour les clusters AKS sont implémentés en tant que journaux de ressources dans Azure Monitor. Les journaux de ressources ne sont pas collectés ni stockés tant que vous n’avez pas créé un paramètre de diagnostic pour les acheminer vers un ou plusieurs emplacements. Vous les envoyez généralement à un espace de travail Log Analytics, où la plupart des données pour Container Insights sont stockées.

Créer un paramètre de diagnostic

Avant de créer le paramètre de diagnostic, installez l’extension Arc K8S , qui active la collecte de journaux à partir du cluster AKS.

Installez l’extension Arc K8S en exécutant la commande suivante :

az k8s-extension create -g <resouerce-group-name> -c <cluster-name> --cluster-type connectedClusters --extension-type Microsoft.AKSArc.AzureMonitor --name "aksarc-azuremonitor" --auto-upgrade true

Une fois l’extension installée, suivez les instructions des paramètres de diagnostic dans Azure Monitor pour créer un paramètre de diagnostic à l’aide des Portail Azure, d’Azure CLI ou de PowerShell. Pendant ce processus, vous pouvez spécifier les catégories de journaux à collecter. Les catégories d’AKS Arc sont répertoriées dans la référence des données de surveillance.

L’exemple de commande est le suivant :

az monitor diagnostic-settings create –name <Diagnostics_Setting_Name> --resource <Cluster_Resource_ID> --logs "[{category:kube-audit,enabled:true},{category:kube-audit-admin,enabled:true},{category:kube-apiserver,enabled:true},{category:kube-controller-manager,enabled:true},{category:kube-scheduler,enabled:true},{category:cluster-autoscaler,enabled:true},{category:cloud-controller-manager,enabled:true},{category:guard,enabled:true},{category:csi-aksarcdisk-controller,enabled:true},{category:csi-aksarcsmb-controller,enabled:true},{category:csi-aksarcnfs-controller,enabled:true}]" --workspace <LA_Workspace_ID>

AKS prend en charge le mode Diagnostics Azure ou le mode spécifique aux ressources pour des journaux de ressources. Le mode spécifie les tables de l’espace de travail Log Analytics auxquelles les données sont envoyées. Le mode diagnostics Azure envoie toutes les données à la table AzureDiagnostics, tandis que le mode spécifique à la ressource envoie des données à ArcK8SAuditAdmin, ArcK8SAuditAdmin et ArcK8SControlPlane, comme indiqué dans la table des catégories de journaux de la section suivante.

Après avoir enregistré les paramètres, il peut prendre jusqu’à une heure pour afficher les événements dans l’espace de travail Log Analytics ou une autre destination prise en charge. Vous pouvez écrire une requête KQL pour extraire les perceptions en fonction des catégories de journal que vous avez activées.

Supprimer et désactiver le paramètre de diagnostic

Vous pouvez supprimer le paramètre de diagnostic à l’aide des Portail Azure, PowerShell ou Azure CLI :

az monitor diagnostic-settings delete -name <diagnostics-setting-name> --resource <resource-name> -g <resource-group-name>

Une fois que vous avez supprimé le paramètre, vous pouvez ensuite supprimer l’extension à l’aide d’Azure CLI :

az k8s-extension delete -g <resouerce-group-name> -c <cluster-name> --cluster-type connectedClusters --name "hybridaks-observability"

Étapes suivantes

Surveiller les événements d’objet Kubernetes