kubernetes api server审计日志默认不启用，需通过--audit-log-path和--audit-policy-file参数显式配置，记录所有请求（含401/403等非法请求）的stage、verb、userinfo及responsestatus.code等关键字段，结合策略实现安全与性能平衡。
在 Kubernetes 中，API Server 的审计日志（Audit Log） 是记录所有请求（包括非法、拒绝、失败等）的核心机制，但需注意：它本身不区分“合法/非法”，而是记录所有请求及最终决策结果（如 ResponseStatus、Stage、Verb、UserInfo 等）。所谓“非法请求”，通常指被鉴权（RBAC）、认证（Authentication）或准入控制（Admission Control）拒绝的请求，这些都会在审计日志中留下明确标记（如 responseStatus.code 非 2xx，stage 为 ResponseStarted 或 ResponseComplete，且 verb 为 create/delete 等高危操作）。
启用并配置 API Server 审计策略
默认情况下，Kubernetes 不启用审计日志。必须通过启动参数显式开启，并指定策略文件：
- 启动 API Server 时添加参数：
--audit-log-path=/var/log/kubernetes/audit.log--audit-policy-file=/etc/kubernetes/audit-policy.yaml--audit-log-maxage=30 --audit-log-maxbackup=3 --audit-log-maxsize=100 - 编写最小化但实用的
audit-policy.yaml，重点捕获拒绝类事件：
apiVersion: audit.k8s.io/v1
kind: Policy
rules:
- level: RequestResponse
verbs: ["create", "delete", "deletecollection", "patch", "update"]
resources:
- group: ""
resources: ["secrets", "configmaps", "serviceaccounts", "pods", "nodes", "namespaces"]
- group: "rbac.authorization.k8s.io"
resources: ["roles", "rolebindings", "clusterroles", "clusterrolebindings"]
- level: Metadata
users: ["system:anonymous", "system:unauthenticated"]
- level: Request
verbs: ["get", "list", "watch"]
omitStages:
- "RequestReceived"
- level: None
users: ["system:kube-scheduler", "system:kube-controller-manager"]
该策略确保：匿名/未认证用户的所有操作全量记录；敏感资源的变更操作记录请求体与响应体；其他读操作仅记录元数据，兼顾安全与性能。
识别“非法请求”的关键字段
审计日志是 JSON 格式，判断是否为“非法请求”需结合多个字段综合分析，而非单看 status.code：
-
responseStatus.code：401（未认证）、403（禁止访问）、404（资源不存在但尝试访问）、500（内部错误）均属异常信号 -
level：设为Request或RequestResponse才能拿到完整请求上下文 -
stage：值为ResponseComplete表示请求已处理完毕，此时responseStatus才有效 -
user.username和user.groups：可识别伪造身份、越权账号（如普通用户尝试操作clusterroles） -
objectRef：定位被操作的目标资源（如namespace,name,resource），便于溯源
集中收集与告警（实战建议）
审计日志只是原始数据，需接入日志系统才能实现监控和告警：
- 用
filebeat或fluentd将/var/log/kubernetes/audit.log实时采集到 Elasticsearch / Loki - 在 Kibana / Grafana 中建立查询，例如：
responseStatus.code:(401 OR 403) AND stage:"ResponseComplete"
再叠加时间范围、命名空间、用户组等过滤条件 - 对高频 403（如某 serviceaccount 短时间内大量越权）设置告警规则，避免漏掉横向移动行为
- 注意：审计日志不记录请求体明文（如 Pod YAML 内容），若需深度审计，需配合
level: RequestResponse+ 合理脱敏策略
补充：审计日志 ≠ 日志审计（Log-Audit）
标题中 “Log-Audit” 易引发误解。Kubernetes 原生只有 Audit Log（API 审计），它不替代应用层日志（如容器 stdout）、也不等同于 SIEM 工具中的日志合规审计。若需满足等保、GDPR 等要求，还需额外做：
- 将审计日志加密落盘（如挂载加密卷）
- 限制 API Server 日志文件权限（
chmod 600 /var/log/kubernetes/audit.log） - 定期归档并校验完整性（如用
sha256sum记录日志哈希） - 与集群内 RBAC 策略联动分析（例如：某用户被拒绝的请求，是否本应被授权？是否存在策略漏洞？）
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
