antrea/audit-webhook

K8s资源审计Webhook镜像

镜像概述

本镜像为Kubernetes资源审计系统的核心组件，实现了用于跟踪K8s资源变更的webhook功能。该系统专注于网络策略相关的Kubernetes资源及Antrea特定自定义资源(CRD)，可记录这些资源的创建、更新和删除操作，并将变更以YAML文件形式存储在Git仓库中，为后续审计、查询和回滚提供基础。

核心功能与特性

• 资源变更跟踪：实时捕获网络策略相关K8s资源及Antrea CRD的创建、更新和删除事件
• Git仓库集成：将资源变更记录以YAML格式持久化存储到Git仓库，确保变更历史可追溯
• 审计基础支持：为系统的CLI查询、过滤（基于日期范围、服务账户等条件）及标签回滚功能提供数据来源
• WebUI数据支撑：作为webUI服务的后端数据源，支持资源配置历史的可视化展示

使用场景与适用范围

• 生产环境Kubernetes集群的资源变更审计
• 需要跟踪网络策略配置变更的场景
• 使用Antrea网络插件的K8s集群的资源管理
• 需满足合规性要求、需要资源变更可追溯的环境
• 希望通过Git仓库管理K8s资源配置历史的场景

使用方法与配置说明

部署前提

• 已部署Kubernetes集群
• 已配置Git仓库用于存储变更记录
• 具备Kubernetes API Server的webhook配置权限

基本部署方式

Docker Run示例

bash
docker run -d \
  --name antrea-resource-auditing-webhook \
  -e GIT_REPO_URL=https://github.com/your-org/resource-audit-repo.git \
  -e GIT_USERNAME=audit-user \
  -e GIT_PASSWORD=audit-token \
  -e K8S_WEBHOOK_PORT=8443 \
  -e CERT_PATH=/etc/webhook/certs \
  -v /path/to/certs:/etc/webhook/certs \
  docker.xuanyuan.run/antrea/resource-auditing-webhook:latest

Kubernetes部署（简要示例）

yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: resource-auditing-webhook
  namespace: antrea-system
spec:
  replicas: 1
  selector:
    matchLabels:
      app: resource-auditing-webhook
  template:
    metadata:
      labels:
        app: resource-auditing-webhook
    spec:
      containers:
      - name: webhook
        image: docker.xuanyuan.run/antrea/resource-auditing-webhook:latest
        env:
        - name: GIT_REPO_URL
          value: "https://github.com/your-org/resource-audit-repo.git"
        - name: GIT_USERNAME
          valueFrom:
            secretKeyRef:
              name: git-credentials
              key: username
        - name: GIT_PASSWORD
          valueFrom:
            secretKeyRef:
              name: git-credentials
              key: password
        ports:
        - containerPort: 8443
        volumeMounts:
        - name: webhook-certs
          mountPath: /etc/webhook/certs
          readOnly: true
      volumes:
      - name: webhook-certs
        secret:
          secretName: webhook-tls

关键配置参数

更多信息

详细文档和完整配置说明，请参考https://github.com/antrea-io/resource-auditing%E3%80%82