kube-apiserver 审计配置 (v1)

生成事件时的审计级别

唯一的审计 ID，为每个请求生成。

生成此事件实例时请求处理的阶段。

RequestURI 是客户端发送到服务器的请求 URI。

动词是与请求关联的 Kubernetes 动词。对于非资源请求，这是小写的 HTTP 方法。

经过身份验证的用户信息。

模拟用户信息。

来源 IP，请求来自哪里以及中间代理。来源 IP 按以下顺序列出

1. X-Forwarded-For 请求标头 IP
2. X-Real-Ip 标头，如果 X-Forwarded-For 列表中不存在
3. 连接的远程地址，如果它与列表中最后一个 IP（X-Forwarded-For 或 X-Real-Ip）不匹配。注意：除最后一个 IP 外，所有 IP 都可以由客户端任意设置。

UserAgent 记录客户端报告的用户代理字符串。请注意，UserAgent 由客户端提供，并且不得信任。

此请求针对的对象引用。不适用于列表类型请求或非资源请求。

响应状态，即使 ResponseObject 不是状态类型也会填充。对于成功的响应，这将仅包括代码和 StatusSuccess。对于非状态类型的错误响应，这将自动填充错误消息。

来自请求的 API 对象，采用 JSON 格式。RequestObject 在版本转换、默认设置、准入或合并之前按原样记录在请求中（可能重新编码为 JSON）。它是一个外部版本化的对象类型，并且本身可能不是有效的对象。非资源请求省略。仅在请求级别及更高级别记录。

响应中返回的 API 对象，采用 JSON 格式。ResponseObject 在转换为外部类型并序列化为 JSON 后记录。非资源请求省略。仅在响应级别记录。

请求到达 apiserver 的时间。

请求到达当前审计阶段的时间。

注释是一个非结构化的键值映射，与审计事件一起存储，可以由请求服务链中调用的插件设置，包括身份验证、授权和准入插件。请注意，这些注释用于审计事件，并且与提交对象的 metadata.annotations 不对应。键应该唯一标识通知组件以避免名称冲突（例如 podsecuritypolicy.admission.k8s.io/policy）。值应该简短。注释包含在元数据级别。

包含 ObjectMeta 以实现与 API 基础结构的互操作性。

规则指定应记录请求的审计级别。一个请求可以匹配多个规则，在这种情况下，将使用第一个匹配的规则。默认审计级别为“无”，但可以被列表末尾的包罗万象规则覆盖。PolicyRules 是严格排序的。

OmitStages 是不为其创建事件的阶段列表。请注意，这也可以为每个规则指定，在这种情况下，将省略两者的并集。

OmitManagedFields 指示是否省略将请求和响应主体的托管字段写入 API 审计日志。这用作全局默认值 - 值“true”将省略托管字段，否则托管字段将包含在 API 审计日志中。请注意，这也可以为每个规则指定，在这种情况下，规则中指定的值将覆盖全局默认值。

组是包含资源的 API 组的名称。空字符串表示核心 API 组。

资源是此规则适用的资源列表。

例如

• pods 匹配 pods。
• pods/log 匹配 pods 的日志子资源。
• * 匹配所有资源及其子资源。
• pods/* 匹配 pods 的所有子资源。
• */scale 匹配所有规模子资源。

如果存在通配符，则验证规则将确保资源不会相互重叠。

空列表表示此 API 组中的所有资源和子资源都适用。

ResourceNames 是策略匹配的资源实例名称列表。使用此字段需要指定资源。空列表表示匹配资源的每个实例。

APIGroup 是包含引用对象的 API 组的名称。空字符串表示核心 API 组。

APIVersion 是包含引用对象的 API 组的版本。

记录与此规则匹配的请求的级别。

此规则适用的用户（按经过身份验证的用户名）。空列表表示每个用户。

此规则适用的用户组。如果用户是任何 UserGroups 的成员，则认为该用户匹配。空列表表示每个用户组。

与此规则匹配的动词。空列表表示每个动词。

此规则匹配的资源。空列表表示所有 API 组中的所有种类。

此规则匹配的命名空间。空字符串 "" 匹配非命名空间资源。空列表表示每个命名空间。

NonResourceURLs 是一组应审计的 URL 路径。允许使用*，但只能作为路径中的完整最终步骤。例子

• /metrics - 记录 apiserver 指标的请求
• /healthz* - 记录所有健康检查

OmitStages 是不为其创建事件的阶段列表。请注意，这也可以在策略范围内指定，在这种情况下，将省略两者的并集。空列表表示不适用任何限制。

OmitManagedFields 指示是否省略将请求和响应主体的托管字段写入 API 审计日志。

• 值“true”将从 API 审计日志中删除托管字段
• 值“false”表示托管字段应包含在 API 审计日志中。请注意，如果指定，此规则中的值将覆盖全局默认值。如果未指定值，则将使用 Policy.OmitManagedFields 中指定的全局默认值。