跳到主要内容
版本:v2.9

审计日志中的用户 ID 跟踪

Rancher 使用以下审计日志来跟踪本地和下游集群中发生的事件:

Rancher 2.6 增强了审计日志,在 Rancher 和下游 Kubernetes 审计日志中都包含了外部身份提供程序名称(即外部身份提供程序中用户的通用名称)。

在 Rancher 2.6 之前,如果管理员不知道外部身份提供程序中的用户名和 Rancher 中的 userId (u-xXXX) 之间的映射,则无法通过 Rancher 审计日志和 Kubernetes 审计日志来追踪事件。 要知道这个映射,集群管理员需要能够访问 Rancher API、UI 和 local 管理集群。

有了这个功能之后,下游集群管理员就能够查看 Kubernetes 审计日志,并且可以不在 Rancher 中查看任何内容就能知道哪个外部身份提供程序 (IDP) 用户执行了某项操作。 如果集群传出了审计日志,日志系统的用户就能够识别外部身份提供程序中的用户。 Rancher 管理员现在能够查看 Rancher 审计日志,并使用外部身份提供程序用户名来跟踪 Kubernetes 审计日志。

功能描述

  • 在下游集群启用了 Kubernetes 审计日志后,会在“元数据”级别为每个请求记录外部身份提供程序的用户名。
  • 在 Rancher 启用 Rancher API 审计日志后,每个到达 Rancher API Server 的请求记录(包括登录请求)对应的外部身份提供程序用户名也会记录在 auditLog.level=1 中。