Audit Logging

Registro de todas as requisições à API Server. Quem fez o quê, quando e em qual recurso. Essencial para compliance (SOC2, PCI-DSS) e investigação pós-incidente.

O que um evento de audit contém

{
  "kind": "Event",
  "apiVersion": "audit.k8s.io/v1",
  "level": "Metadata",
  "timestamp": "2024-01-15T10:23:45Z",
  "user": {
    "username": "arn:aws:iam::123456:user/joao",  // quem fez
    "groups": ["system:authenticated"]
  },
  "verb": "delete",              // o que fez
  "objectRef": {
    "resource": "deployments",   // em qual recurso
    "namespace": "production",
    "name": "meu-app"
  },
  "responseStatus": { "code": 200 },
  "sourceIPs": ["10.0.1.55"],
  "userAgent": "kubectl/v1.28"
}

Níveis de Auditoria

Stages de uma Requisição

Audit Logging no EKS

No EKS, os logs de auditoria da API Server vão para o CloudWatch Logs automaticamente quando habilitados no Control Plane Logging. Você não gerencia a política de audit — a AWS usa uma política padrão.

aws eks update-cluster-config \
  --name meu-cluster \
  --logging '{"clusterLogging":[{
    "types": ["audit","api","authenticator"],
    "enabled": true
  }]}'

# Log group: /aws/eks/<cluster>/cluster
# Stream: kube-apiserver-audit-*

fields @timestamp, @message
| filter @logStream like /audit/
| filter verb = "delete"
| filter objectRef.namespace = "production"
| sort @timestamp desc
| limit 50

O que monitorar nos audit logs