Ein Unternehmen nutzt AWS Organizations und betreibt Amazon Elastic Kubernetes Service (Amazon EKS)-Cluster in mehreren AWS-Konten. Ein Sicherheitsingenieur hat Amazon EKS in AWS CloudTrail integriert und speichert Trails in einem Amazon S3-Bucket in jedem Konto, um API-Aufrufe zu überwachen. Die CloudTrail-Protokolle zeigen jedoch keine Ereignisse zur Erstellung von Kubernetes-Pods an. Was sollte der Sicherheitsingenieur tun, um Kubernetes-Ereignisse in Amazon CloudWatch anzuzeigen?

Die korrekte Antwort ist, die Protokolle der Kubernetes API-Server (Steuerungsebene)-Komponente für jeden EKS-Cluster zu aktivieren. Standardmäßig werden Kubernetes-Ereignisse wie die Erstellung von Pods nicht direkt in CloudTrail erfasst. CloudTrail protokolliert AWS-API-Aufrufe. Um Kubernetes-spezifische Ereignisse zu überwachen, müssen die Steuerungsebenen-Protokolle des EKS-Clusters (insbesondere der API-Server) in CloudWatch Logs exportiert werden. Dies ermöglicht die detaillierte Überwachung von Aktionen innerhalb des Kubernetes-Clusters. Die Konfiguration von EKS-Clustern zur Verwendung privater S3 VPC-Endpunkte und die Aktivierung der S3-Bucket-Protokollierung (erste Option) verbessert die Sicherheit und Überwachung des S3-Zugriffs, erfasst aber keine Kubernetes-Ereignisse. Die Aktivierung von CORS für den S3-Bucket (dritte Option) ist für den Zugriff auf Bucket-Inhalte aus Webanwendungen relevant und hat keinen Einfluss auf die Erfassung von Kubernetes-Ereignissen. Die Konfiguration von CloudWatch zur Anzeige von Ereignissen (vierte Option) ist zwar notwendig, aber ohne die vorherige Aktivierung der EKS-Steuerungsebenen-Protokolle in CloudWatch Logs werden keine Kubernetes-Ereignisse zur Anzeige verfügbar sein.