在Splunk中通过用户配置文件记录k8s kubectl命令相关活动

Question

免责声明：我既不是K8s专家，也不是K8s管理员，我对Splunk日志了解有限，无法使用Splunk查询访问数据。因此，如果你不能帮忙，请忽略，在不了解问题的情况下不要关闭它，我很高兴澄清。这将有助于那些正在跑步的人在未来提出同样的问题。

我们在Prem上使用K8s，有大量的名称空间，用户可以访问几乎所有的名称空间。有人可能会意外地发出kubectl delete命令来删除任何内容，可能是pod/service、角色或集群。我在这篇文章中的目标是，我们是否可以追踪到谁在运行库贝特的每一个操作？

我发现下面的链接可以帮助审计k8s：https://kubernetes.io/docs/tasks/debug-application-cluster/audit/

如果在k8s中启用审计，我们如何跟踪谁执行了每个kubectl命令操作？正如我所说，我既不是k8s管理员，但想知道是否有明确的路径和方法来跟踪从k8s到Splunk的日志？

我们的K8s管理员说已经设置了审计，但是带有用户详细信息的kubectl命令并没有从Rancher/Fluentd流向Splunk。我们需要任何特定的配置来打开它吗？这是K8s管理员需要设置的。任何帮助都将不胜感激。

谢谢注意：-这是封闭线程的开放线程。

Answer 1

您可以使用日志后端。通过此配置，所有审核日志都将记录在fluentd可以从中收集的磁盘中。这将在主节点中创建日志，因此fluentd守护程序应该出现在主节点上。