Auditoría de eventos del clúster

Una política de auditoría es una lista de reglas. Cada petición se compara con ellas en orden y la primera que coincide fija el nivel de registro: None (no se registra), Metadata (quién, qué recurso, qué verbo y cuándo), Request (además el cuerpo de la petición) o RequestResponse (además el cuerpo de la respuesta). Las reglas posteriores que también coincidirían ya no se miran.

Esto vuelve peligrosa una regla None puesta arriba «para quitar ruido»: puede dejar sin registrar justo lo que reglas más abajo querían registrar.

El registro de un secreto es una de las huellas más valiosas tras un incidente: quién lo leyó y cuándo. Una regla None sobre los secretos hace que esa huella no exista. No se arregla aprovechando que el nivel más detallado (RequestResponse) existe: los cuerpos de un secreto contienen el secreto, y registrarlos escribiría el valor en el log. Para los secretos el nivel sensato es Metadata.

Abre la política de auditoría. Las reglas llevan un comentario con su número, empezando en 1.

Los parámetros --audit-log-maxage, --audit-log-maxbackup y --audit-log-maxsize controlan cuántos días, cuántos archivos y de qué tamaño se conserva el registro. La rotación borra lo más viejo: si la norma interna pide una retención mayor que la configurada, la evidencia desaparece antes del plazo que la empresa se comprometió a conservarla, aunque la auditoría «esté activada». Hay que comprobar también que el volumen de escritura no obligue a rotar antes por tamaño.

Compara el valor configurado de retención con lo que pide la norma interna.

Cada evento de auditoría es una línea JSON con lo esencial: la marca de tiempo, el verbo, la identidad (user.username), la dirección de origen (sourceIPs), el objeto afectado (objectRef) y el código de respuesta. Con eso se reconstruye una acción. Una respuesta 201 en un create significa que el objeto se creó.

Busca en el extracto del registro quién creó el binding amplio que viste en la sala anterior.

Una vez visto el fallo hay dos errores posibles al corregirlo. Uno es dejar la regla como está porque «los secretos hacen ruido». Otro es pasar los secretos a un nivel que guarde el cuerpo para tener «más información». La corrección es registrar solo los metadatos de los secretos, y para el ruido de verdad, afinar con reglas concretas que no oculten lo que importa.