Kubernetesの監査機能は、クラスタに関するセキュリティ関連の時系列レコードを提供します。Kube-apiserverが監査を実行します。各リクエストは実行の各段階でイベントを生成し、そのイベントは特定のポリシーに従って前処理され、バックエンドに書き込まれます。ポリシーによって記録される内容が決定され、バックエンドはレコードを永続化します。
CIS（Center for Internet Security）のKubernetesベンチマークコントロールへの準拠の一環として、監査ログを設定することをお勧めします。
監査ログは、cluster.yml ファイルに以下の設定を追加することで、デフォルトで有効にできます。
サービス:
kube-api:
監査ログ:
有効: true
監査ログが有効になっている場合、デフォルト値は /etc/kubernetes/audit-policy.yaml で確認できます。ログバックエンドは、監査イベントを JSONlines 形式でファイルに書き込みます。ログ監査バックエンドは、次の kube-apiserver フラグを使用して設定できます。
--audit-log-path は、ログバックエンドが監査イベントを書き込むために使用するログファイルパスを指定します。このフラグを指定しない場合、ログバックエンドは無効になります。- は標準出力を意味します。
--audit-log-maxage は、古い監査ログファイルを保持する最大日数を定義します。
--audit-log-maxbackup は、保持する監査ログファイルの最大数を定義します。
--audit-log-maxsize は、監査ログファイルがローテーションされる前の最大サイズをメガバイト単位で定義します。クラスターのコントロールプレーンが kube-apiserver を Pod として実行している場合は、監査レコードが永続化されるように、hostPath をポリシーファイルとログファイルの場所にマウントすることを忘れないでください。例:
--audit-policy-file=/etc/kubernetes/audit-policy.yaml \
--audit-log-path=/var/log/audit.log