秒(30s)，以便收集器回收连接 并重新尝试在合理的时间内发送失败消息。(LOG-2534) 在此次更新之前，网关组件强制租期中的错误，用于读取带有 Kubernetes 命名空间的日志的有限 访问会导致 "audit" 以及一些 "infrastructure" 日志不可读取。在这个版本中，代理可以正确地检 测到具有 admin 访问权限的用户，并允许在没有命名空间的情况下访问日志。(LOG-2448) 在 annotations: logging.openshift.io/preview-vector-collector: enabled spec: collection: logs: type: "vector" vector: {} OpenShift Container Platform 4.8 日志 日志记录 记录 16 e. 选择 Enable 节点上运行的基础架构组件生成的日 志，如 journal 日志。基础架构组件是在 openshift*、kube* 或 default 项目中运行的 pod。 audit - 由 auditd 生成的日志，节点审计系统存储在 /var/log/audit/audit.log 文件中，以及 Kubernetes apiserver 和 OpenShift apiserver 的审计日志。 注意 注意 由于内部

节点上运行的基础架构组件生成的日 志，如 journal 日志。基础架构组件是在 openshift*、kube* 或 default 项目中运行的 pod。 audit - 由节点审计系统 (auditd) 生成的日志，这些日志保存在 /var/log/audit/audit.log 文件 中，以及 Kubernetes apiserver 和 OpenShift apiserver 的审计日志。 注意 注意 由于内部 默认情况下，日志收集器使用以下源： 所有系统的日志记录的 journald /var/log/containers/*.log 用于所有容器日志 如果您配置了日志收集器来收集审计日志，它会从 /var/log/audit/audit.log 中获取日志信息。 日志记录收集器是一个守护进程集，它将 pod 部署到每个 OpenShift Container Platform 节点。系统及基 础架构日志由来自操作系统、容器运行时和 retentionPolicy: 4 application: maxAge: 1d infra: maxAge: 7d audit: maxAge: 7d elasticsearch: nodeCount: 3 5 storage: storageClassName:

的详情。 流程 流程 运行以下命令，以查看 Cluster Network Operator 的状态： 4.4. 查看 CLUSTER NETWORK OPERATOR 日志 您可以使用 oc logs 命令来查看 Cluster Network Operator 日志。 流程 流程 运行以下命令，以查看 Cluster Network Operator 的日志： 4.5. CLUSTER Service Network: 172.30.0.0/16 Events: $ oc describe clusteroperators/network $ oc logs --namespace=openshift-network-operator deployment/network-operator 第 第 4 章 章 OPENSHIFT CONTAINER describe 命令来检查状态并查看 DNS Operator 的详情。 流程 流程 查看 DNS Operator 的状态： 5.7. DNS OPERATOR 日志 您可以使用 oc logs 命令来查看 DNS Operator 日志。 流程 流程 查看 DNS Operator 的日志： } .:5353 { errors health

的详情。 流程 流程 运行以下命令，以查看 Cluster Network Operator 的状态： 5.4. 查看 CLUSTER NETWORK OPERATOR 日志 您可以使用 oc logs 命令来查看 Cluster Network Operator 日志。 流程 流程 运行以下命令，以查看 Cluster Network Operator 的日志： 5.5. CLUSTER Service Network: 172.30.0.0/16 Events: $ oc describe clusteroperators/network $ oc logs --namespace=openshift-network-operator deployment/network-operator OpenShift Container Platform 4 oc describe 命令来检查状态并查看 DNS Operator 的详情。 流程 查看 DNS Operator 的状态： 6.7. DNS OPERATOR 日志 您可以使用 oc logs 命令来查看 DNS Operator 日志。 流程 查看 DNS Operator 的日志： 6.8. 设置 COREDNS 日志级别 您可以配置 CoreDNS 日志级别来确定日志记录错误信息中的详情量。CoreDNS

45h secondary-scheduler-7976c4d466-qm4sc 1/1 Running 0 21m $ oc logs secondary-scheduler-7976c4d466-qm4sc -n openshift-numaresources ... I0223 11:04:55.614788 1 numaresourcesoperator-worker-pb75c 2/2 Running 0 2d1h 10.132.2.33 compute-1.example.com $ oc logs -n openshift-numaresources -c resource-topology-exporter numaresourcesoperator- worker-pb75c I0221 metadata: name: example-performanceprofile spec: additionalKernelArgs: - nmi_watchdog=0 - audit=0 - mce=off - processor.max_cstate=1 - idle=poll - intel_idle.max_cstate=0 - nosmt

.openshift- monitoring.svc:9091/api/v1/query?query=cluster_version' $ oc -n openshift-monitoring logs -c thanos-query OpenShift Container Platform 4.10 监 监控 控 54 注意 注意 因为 openshift-monitoring 项目中的 cluster-monitoring-config ConfigMap 对象： 2. 在 data/config.yaml 下的 k8sPrometheusAdapter/audit 部分中添加 profile: 应用到 Prometheus Adapter 的审计日志级别。 3. 使用 profile: 参数的以下值之一设置审计日志级别： None ：不记录事件。 Metadata namespace: openshift-monitoring data: config.yaml: | k8sPrometheusAdapter: audit: profile: <audit_log_level> 1 OpenShift Container Platform 4.10 监 监控 控 56 警告 警告 一旦将更改保存到监控配置映射，可能会重新部署相关项目中的

pod。 注意 注意 当您在 pod 中运行 oc 且没有指定命名空间时，默认使用 pod 的命名空间。 输 输出示例 出示例 2.1.4.4. 查 查看 看 pod 日志 日志 使用oc logs命令查看特定 pod 的日志。 输 输出示例 出示例 2.1.4.5. 查 查看当前 看当前项 项目 目 Now using project "my-project" on server "https://openshift 1/1 Running 0 3m33s 10.128.2.11 ip-10-0-168-105.ec2.internal $ oc logs cakephp-ex-1-deploy --> Scaling cakephp-ex-1 to 1 --> Success 第 第 2 章 章 OPENSHIFT CLI (OC) 11 foo # Check to see if I can read pod logs oc auth can-i get pods --subresource=log # Check to see if I can access the URL /logs/ oc auth can-i get /logs/ # List all allowed actions in namespace

12 注意 注意 当您在 pod 中运行 oc 且没有指定命名空间时，默认使用 pod 的命名空间。 输 输出示例 出示例 2.1.5.4. 查 查看 看 pod 日志 日志 使用oc logs命令查看特定 pod 的日志。 输 输出示例 出示例 2.1.5.5. 查 查看当前 看当前项 项目 目 使用oc project命令查看当前项目。 输 输出示例 出示例 2.1.5.6 1/1 Running 0 3m33s 10.128.2.11 ip-10-0-168-105.ec2.internal $ oc logs cakephp-ex-1-deploy --> Scaling cakephp-ex-1 to 1 --> Success $ oc project Using project "my-project" foo # Check to see if I can read pod logs oc auth can-i get pods --subresource=log # Check to see if I can access the URL /logs/ oc auth can-i get /logs/ # List all allowed actions in namespace

pod。 注意 注意 当您在 pod 中运行 oc 且没有指定命名空间时，默认使用 pod 的命名空间。 输 输出示例 出示例 2.1.4.4. 查 查看 看 pod 日志 日志 使用oc logs命令查看特定 pod 的日志。 输 输出示例 出示例 2.1.4.5. 查 查看当前 看当前项 项目 目 Now using project "my-project" on server "https://openshift 1/1 Running 0 3m33s 10.128.2.11 ip-10-0-168-105.ec2.internal $ oc logs cakephp-ex-1-deploy --> Scaling cakephp-ex-1 to 1 --> Success 第 第 2 章 章 OPENSHIFT CLI (OC) 11 foo # Check to see if I can read pod logs oc auth can-i get pods --subresource=log # Check to see if I can access the URL /logs/ oc auth can-i get /logs/ # List all allowed actions in namespace

集，restricted 配置集用于警告和审核。 除了全局 pod 安全准入控制配置外，还存在一个控制器，它会根据给定命名空间中的服务帐户的 SCC 权 限将 pod 安全准入控制 warn 和 audit 标签应用到命名空间。 重要 重要 定义为集群有效负载一部分的命名空间会永久禁用 pod 安全准入同步。您可以根据需要， 在其他命名空间中启用 pod 安全准入同步。如果 Operator 安装在用户创建的 ServiceAccount 对象权限，以便在每个命名空间中使用安全性上下文约束。安全性上下文约 束 (SCC) 根据其字段值映射到 Pod 安全配置集，控制器使用这些翻译配置集。Pod 安全准入 warn 和 audit 标签被设置为命名空间中找到的最特权 pod 安全配置集，以防止在创建 pod 时出现警告和审计日志 记录。 命名空间标签基于对命名空间本地服务帐户权限的考虑。 直接应用 pod 可能会使用运行 Kubernetes 文档中的 Audit 注解。 16.3.1. 识别 pod 安全违反情况 PodSecurityViolation 警报不会提供导致 pod 安全漏洞的工作负载的详情。您可以通过查看 Kubernetes API 服务器审计日志来识别受影响的工作负载。此流程使用 must-gather 工具来收集审计日志，然后搜索 pod-security.kubernetes.io/audit-violations