集群审计
更新时间：2025-08-05
概述
集群审计是基于 Kubernetes Audit 对 kube-apiserver 产生的可配置策略的 JSON 结构日志的记录存储及检索功能，支持通过 API Server 审计日志来记录用户在集群中的日常操作，帮助集群管理员对集群的操作行为进行安全审计，保证集群安全、稳定运行。本文为您介绍如何配置集群审计功能。
使用限制
- 本文仅适用于 CCE 托管集群、独立集群。
-
请确保您账号下 BLS 日志服务资源没有超出配额，否则会导致集群审计功能开启失败。
- 目前BLS 日志服务允许每个 accoutID 下最多可创建50个日志集，如需更多，提工单申请。
- 当前新版集群审计由于受BLS 日志服务限制，不支持香港、南京两个地域，因此这两个地域不支持集群审计功能升级，仍默认显示旧版集群审计页面。
前提条件
计费说明
- 开启集群审计后，将采集集群审计日志投递到日志服务（BLS），日志服务会按照您的实际使用情况计费，计费标准请参考 计费概述。
操作步骤
开启集群审计
- 登录 容器引擎控制台。
- 在左侧导航栏，选择 集群列表。
- 在“集群列表”页面单击目标集群，进入集群管理页面。
- 在集群管理页面左侧导航栏中选择 安全管理-集群审计。
-
在 集群审计 页面，针对未授权开启集群审计功能的集群，单击 立即开启；针对已授权开启过集群审计功能的集群，单击 升级，即可升级集群审计，将集群审计日志投递到 BLS 日志服务。
注意
- 开启集群审计功能将导致 APIServer 重启，重启期间APIServer 服务将暂时不可用，请勿频繁开关此功能。请在确认业务无强依赖 APIServer 的场景后再进行开启操作。
- 若集群类型为独立集群，请务必提前确认 APIServer 可安全重启，避免因长连接等原因导致APIServer服务不均衡或异常。请在确保 APIServer 重启无异常后，再点击开启审计功能。
- 开启集群审计功能，容器服务会在您账号下自动创建的名称为k8s-audit-{集群ID}日志集，并开启日志主题的索引配置。请勿修改索引，以免报表失效。
- 如果您的集群已开启审计功能，请务必检查审计组件的 YAML 配置中是否已设置 CPU、内存等资源限制。如未设置，请及时补充资源限制。请根据集群规模合理调整审计组件的资源配额。参考示例如下：
Plain Text
1spec:
2 containers:
3 - args:
4 - --kubeConfig=/root/.kube/config
5 - --port=17658
6 - --v=2
7 image: registry.baidubce.com/cce-plugin-pro/kube-external-auditor:v1.1.1
8 imagePullPolicy: Always
9 name: kube-external-auditor
10 resources:
11 limits: # 请根据集群规模合理调整审计组件的资源配额。
12 cpu: "1"
13 memory: 2Gi
14 requests: # 请根据集群规模合理调整审计组件的资源配额。
15 cpu: 200m
16 memory: 200Mi查看审计日志
集群审计功能配置完成后，您可以在集群审计页面中，查看集群审计日志信息。
说明
关闭集群审计
如果您不再需要集群API Server的审计功能的话，可以通过以下方法关闭审计功能。
- 在集群审计页面中，单击右上角 关闭集群审计。
-
弹出二次确认对话框，单击 确认，完成配置。
注意
- 关闭集群审计功能将导致 APIServer 重启，重启期间APIServer 服务将暂时不可用，请勿频繁开关此功能。请在确认业务无强依赖 APIServer 的场景后再进行关闭操作。
- 若集群类型为独立集群，请务必提前确认 APIServer 可安全重启，避免因长连接等原因导致APIServer服务不均衡或异常。请在确保 APIServer 重启无异常后，再点击关闭审计功能。
- 关闭集群审计功能，不会删除 BLS 日志服务中的日志集，如需删除日志集，您可以登录 日志服务控制台 确认删除相应的日志集。