使用容器内部操作审计功能

计费说明

容器内部操作审计功能当前处于公测中，可以免费使用。开通容器内部操作审计功能后，使用日志服务SLS的相关功能，会产生相关费用。日志服务相关计费信息，请参见计费概述。

使用限制

• 集群类型：仅支持ACK集群Pro版、ACK集群基础版、ACK专有集群。

• 集群版本及操作系统限制：仅支持内核版本大于4.19的Alibaba Cloud Linux、Ubuntu、ContainerOS操作系统。

  • Alibaba Cloud Linux：集群版本为1.18及以上。

  • ContainerOS：集群版本为1.24及以上

  • Ubuntu：

    • 集群版本为1.30及以上。如需升级集群，请参见手动升级集群。

    • 节点初始化时，会关闭操作系统自动升级。

    • 目前不支持CPFS存储卷、镜像加速插件、安全加固等功能。

步骤一：启用容器内部操作审计功能

您可以通过安装logtail-ds组件和ack-advanced-audit组件启用容器内部操作审计功能。

• logtail-ds组件：将审计日志收集到日志服务并创建默认的审计报表。

• ack-advanced-audit组件：实现容器内操作审计。

容器内部操作审计功能启用后，默认将在logtail-ds组件使用的日志Project中创建一个名为advaudit-${cluster_id}的日志库，用于保存审计日志。该日志库数据的保存时间为180天。如需修改日志保存时间，请参见管理Logstore。

1. 登录容器服务管理控制台，在左侧导航栏选择集群列表。

2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择运维管理 > 组件管理。

3. 在组件管理页面，在日志与监控页签定位logtail-ds组件，在安全页签定位ack-advanced-audit组件，并按照页面提示完成安装。

步骤二：查看审计报表

容器内部操作审计功能启用后，默认将在日志Project下创建一个名为Kubernetes容器内部操作审计的报表。

1. 登录日志服务控制台。

2. 在Project列表区域，选择集群使用的日志Project，单击名称进入日志Project页面。

3. 在页面左侧的图标栏单击仪表盘图标，然后单击Kubernetes容器内部操作审计查看审计报表内容。

   • 查看进入Pod容器的次数以及相关Pod信息。

   • 执行操作的Kubernetes操作账号信息、进入容器后执行的命令列表以及常见的高危列表。

步骤三：查看详细日志记录

（可选）步骤四：配置操作审计告警

通过日志服务的告警功能，您可以配置容器内部操作审计的实时告警，便于监控容器内关键的操作事件。告警方式支持钉钉机器人、自定义Webhook和通知中心。更多告警配置方式，请参见告警。

关闭容器内部操作审计功能

您可以通过卸载ack-advanced-audit组件关闭容器内部操作审计功能。

1. 登录容器服务管理控制台，在左侧导航栏选择集群列表。

2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择运维管理 > 组件管理。

3. 在组件管理页面，单击日志与监控页签，找到ack-advanced-audit组件，单击组件右下方的卸载，按照页面提示完成卸载。

相关文档

• 关于ack-advanced-audit、logtail-ds组件的发布记录及说明，请参见ack-advanced-audit、Logtail发布历史。

• API Server审计日志功能能够帮助集群管理人员排查“什么人在什么时间对什么资源做了什么操作”，请参见使用集群API Server审计功能。