如何从管理员读取（数据访问）审核日志中免除 GKE `system:*` 主体？

Question

我想查看针对 Kubernetes API 服务器的读取操作的审核日志，但仅限于我们组织中的主体，并排除

system:*

用户生成管理读取日志。

但是，我无法在审核日志的豁免主体设置中添加

system:*

主体：

有没有办法避免GKE系统账户导致记录过多的Admin Read信息？

Answer 1

您无法在审核日志的豁免主体设置中添加“system:*”作为主体，因为 PRINCIPAL 指的是未收集其数据访问审计日志的用户。这取决于绑定类型成员，它描述了各种，包括用户和组，但不包括可用于配置数据访问审核日志的变量或语法。检查这些系统日志的生成位置，例如生成系统日志的服务帐户、用户名或域名，使用 AuditConfig 对象 配置它们。您还可以按照此官方文档使用 Google Cloud 控制台启用或禁用配置数据访问审核日志。

EDIT-1 :：根据关于 系统事件审核日志的官方文档是

由Google系统生成；它们不是由直接的用户操作驱动的。 系统事件审核日志始终被写入； 您无法配置， 排除或禁用它们。

排除此系统审核日志的可能方法之一是使用排除过滤器。

您可以设置多个排除过滤器。 排除过滤器让您 排除匹配的日志条目被路由到接收器 目的地或存储在日志桶中。你创造了排斥 使用日志查询语言进行过滤。 排除的日志条目 在日志资源管理器中不可用。