1
apiVersion: audit.k8s.io/v1 # 这是必填项。
2
kind: Policy
3
# 不要在 RequestReceived 阶段为任何请求生成审计事件。
4
omitStages:
5
  - "RequestReceived"
6
rules:
7
  # 在日志中用 RequestResponse 级别记录 Pod 变化。
8
  - level: RequestResponse
9
    resources:
10
    - group: ""
11
      # 资源 "pods" 不匹配对任何 Pod 子资源的请求，
12
      # 这与 RBAC 策略一致。
13
      resources: ["pods"]
14
  # 在日志中按 Metadata 级别记录 "pods/log"、"pods/status" 请求
15
  - level: Metadata
16
    resources:
17
    - group: ""
18
      resources: ["pods/log", "pods/status"]
19

20
  # 不要在日志中记录对名为 "controller-leader" 的 configmap 的请求。
21
  - level: None
22
    resources:
23
    - group: ""
24
      resources: ["configmaps"]
25
      resourceNames: ["controller-leader"]
26

27
  # 不要在日志中记录由 "system:kube-proxy" 发出的对端点或服务的监测请求。
28
  - level: None
29
    users: ["system:kube-proxy"]
30
    verbs: ["watch"]
31
    resources:
32
    - group: "" # core API 组
33
      resources: ["endpoints", "services"]
34

35
  # 不要在日志中记录对某些非资源 URL 路径的已认证请求。
36
  - level: None
37
    userGroups: ["system:authenticated"]
38
    nonResourceURLs:
39
    - "/api*" # 通配符匹配。
40
    - "/version"
41

42
  # 在日志中记录 kube-system 中 configmap 变更的请求消息体。
43
  - level: Request
44
    resources:
45
    - group: "" # core API 组
46
      resources: ["configmaps"]
47
    # 这个规则仅适用于 "kube-system" 名字空间中的资源。
48
    # 空字符串 "" 可用于选择非名字空间作用域的资源。
49
    namespaces: ["kube-system"]
50

51
  # 在日志中用 Metadata 级别记录所有其他名字空间中的 configmap 和 secret 变更。
52
  - level: Metadata
53
    resources:
54
    - group: "" # core API 组
55
      resources: ["secrets", "configmaps"]
56

57
  # 在日志中以 Request 级别记录所有其他 core 和 extensions 组中的资源操作。
58
  - level: Request
59
    resources:
60
    - group: "" # core API 组
61
    - group: "extensions" # 不应包括在内的组版本。
62

63
  # 一个抓取所有的规则，将在日志中以 Metadata 级别记录所有其他请求。
64
  - level: Metadata
65
    # 符合此规则的 watch 等长时间运行的请求将不会
66
    # 在 RequestReceived 阶段生成审计事件。
67
    omitStages:
68
      - "RequestReceived"