审计注解
此页面作为 kubernetes.io 命名空间的审计注解的参考。这些注解适用于来自 API 组 audit.k8s.io 的 Event 对象。
注意
以下注解不在 Kubernetes API 中使用。当您在集群中启用审计时，审计事件数据将使用来自 API 组audit.k8s.io 的 Event 写入。这些注解适用于审计事件。审计事件与事件 API (API 组 events.k8s.io) 中的对象不同。k8s.io/deprecated
示例：k8s.io/deprecated: "true"
值必须为 "true" 或 "false"。值 "true" 表示请求使用了已弃用的 API 版本。
k8s.io/removed-release
示例：k8s.io/removed-release: "1.22"
值必须采用 "
pod-security.kubernetes.io/exempt
示例：pod-security.kubernetes.io/exempt: namespace
值必须是 user、namespace 或 runtimeClass 之一，它们对应于Pod 安全豁免维度。此注解指示 Pod 安全强制执行所基于的豁免维度。
pod-security.kubernetes.io/enforce-policy
示例：pod-security.kubernetes.io/enforce-policy: restricted:latest
值必须是 privileged:<version>、baseline:<version>、restricted:<version> 之一，它们对应于Pod 安全标准级别，并伴随一个版本，该版本必须是 latest 或采用 v<MAJOR>.<MINOR> 格式的有效 Kubernetes 版本。此注解指示在 Pod 安全准入期间允许或拒绝 Pod 的强制级别。
有关更多信息，请参阅Pod 安全标准。
pod-security.kubernetes.io/audit-violations
示例：pod-security.kubernetes.io/audit-violations: would violate PodSecurity "restricted:latest": allowPrivilegeEscalation != false (container "example" must set securityContext.allowPrivilegeEscalation=false), ...
值详细说明了审计策略违规，其中包含被违背的Pod 安全标准级别，以及 Pod 安全强制执行所违反的字段上的特定策略。
有关更多信息，请参阅Pod 安全标准。
authorization.k8s.io/decision
示例：authorization.k8s.io/decision: "forbid"
值必须为 forbid 或 allow。此注解指示 Kubernetes 审计日志中是否授权请求。
有关更多信息，请参阅审计。
authorization.k8s.io/reason
示例：authorization.k8s.io/reason: "Human-readable reason for the decision"
此注解给出了 Kubernetes 审计日志中决定的原因。
有关更多信息，请参阅审计。
missing-san.invalid-cert.kubernetes.io/$hostname
示例：missing-san.invalid-cert.kubernetes.io/example-svc.example-namespace.svc: "relies on a legacy Common Name field instead of the SAN extension for subject validation"
由 Kubernetes v1.24 及更高版本使用
此注解指示 Webhook 或聚合 API 服务器正在使用缺少 subjectAltNames 的无效证书。这些证书的支持在 Kubernetes 1.19 中默认禁用，并在 Kubernetes 1.23 中删除。
使用这些证书的端点的请求将失败。使用这些证书的服务应尽快替换它们，以避免在 Kubernetes 1.23+ 环境中运行时出现中断。
Go 文档中有更多关于此的信息：X.509 CommonName 弃用。
insecure-sha1.invalid-cert.kubernetes.io/$hostname
示例：insecure-sha1.invalid-cert.kubernetes.io/example-svc.example-namespace.svc: "uses an insecure SHA-1 signature"
由 Kubernetes v1.24 及更高版本使用
此注解指示 Webhook 或聚合 API 服务器正在使用以 SHA-1 哈希签名的不安全证书。对这些不安全证书的支持在 Kubernetes 1.24 中默认禁用，并将在未来的版本中删除。
使用这些证书的服务应尽快替换它们，以确保连接得到适当保护，并避免在未来版本中出现中断。
Go 文档中有更多关于此的信息：拒绝 SHA-1 证书。
validation.policy.admission.k8s.io/validation_failure
示例：validation.policy.admission.k8s.io/validation_failure: '[{"message": "Invalid value", {"policy": "policy.example.com", {"binding": "policybinding.example.com", {"expressionIndex": "1", {"validationActions": ["Audit"]}]'
由 Kubernetes v1.27 及更高版本使用。
此注解指示 API 请求的准入策略验证结果为 false，或者当策略配置为 failurePolicy: Fail 时，验证导致错误。
注解的值是一个 JSON 对象。JSON 中的 message 提供了关于验证失败的消息。
JSON 中的 policy、binding 和 expressionIndex 分别标识 ValidatingAdmissionPolicy 的名称、ValidatingAdmissionPolicyBinding 的名称以及策略 validations 中失败的 CEL 表达式的索引。
validationActions 显示对此验证失败采取的操作。有关 validationActions 的更多详细信息，请参阅验证准入策略。