Registro de auditoría del clúster

La política de auditoría asigna a cada recurso un nivel: None no registra nada; Metadata guarda quién, cuándo, qué verbo y qué objeto, pero no el cuerpo de la solicitud ni el de la respuesta; Request añade el cuerpo de la solicitud; RequestResponse añade también el de la respuesta.

Para los secretos la documentación recomienda Metadata: con niveles más altos el propio registro de auditoría guardaría el contenido del secreto. Con Metadata se sabe quién leyó un secreto y cuál, no qué decía.

Abrir una sesión dentro de un contenedor llega al servidor de API como una solicitud create sobre el subrecurso exec del pod. El registro conserva quién la hizo, desde qué dirección y con qué agente; no conserva lo que se tecleó ni lo que se vio en la sesión.

La dirección de origen es un dato para comparar, no una prueba por sí sola. El caso dice desde qué dirección trabaja habitualmente el equipo de plataforma; una dirección distinta es un pivote para preguntar, no para acusar: la persona pudo trabajar desde otra red o alguien pudo usar su credencial.

Se distingue list de get. Un list devuelve los secretos del namespace de una vez; un get pide uno por su nombre. Para contar cuántos secretos se consultaron de forma individual se cuentan los get, y se deja el list aparte como el hecho que es: una enumeración.

El archivo de auditoría solo cubre desde cierta fecha y la política deja fuera algunos recursos. Que no aparezca un evento de borrado de pods en el registro no es lo mismo que no haber ocurrido.