kubernetes - 如何在 GKE kubernetes 集群中调试 ABAC 到 RBAC 的转换？

Question

GKE 在哪里记录 RBAC 权限事件？

在带有 kubernetes v1.6 版本的 Google Container Engine (GKE) 集群上，默认启用 RBAC 授权。显然 ABAC 也被启用作为回退授权，以简化现有集群到新授权方案的过渡。这个想法是首先尝试 RBAC 授权一个 Action 。如果失败，则应将其记录在某处，然后咨询 ABAC 以允许该操作。这应该使集群管理员能够在最终关闭 ABAC 之前检查日志中是否有丢失的 RBAC 权限。

我们有一些集群禁用 GCP 日志记录/监控，而是使用自己的 ELK 堆栈。只是为了确保我已经创建了一个带有 GCP 云日志记录和监控的测试集群，但仍然可以在任何地方找到任何 RBAC 事件。测试 pod 是一个 prometheus 服务器，用于发现和抓取其他 pod 和节点。

Answer 1

为了使这更全面。来自 Using RBAC Authorization :

When run with a log level of 2 or higher (--v=2), you can see RBAC denials in the apiserver log (prefixed with RBAC DENY:).

在 GKE 中，可以通过 HTTP 访问 apiservers 日志，例如:

kubectl proxy &
curl -s http://localhost:8001/logs/kube-apiserver.log