Een bedrijf gebruikt AWS Organizations en draait Amazon Elastic Kubernetes Service (Amazon EKS)-clusters in meerdere AWS-accounts. Een beveiligingsengineer heeft Amazon EKS geïntegreerd met AWS CloudTrail, waarbij trails worden opgeslagen in een Amazon S3-bucket in elk account om API-aanroepen te monitoren. CloudTrail-logs tonen echter geen gebeurtenissen voor het aanmaken van Kubernetes-pods. Wat moet de beveiligingsengineer doen om Kubernetes-gebeurtenissen in Amazon CloudWatch te bekijken?

De juiste actie is het inschakelen van Kubernetes API server (control plane) component logs voor elk EKS-cluster. CloudTrail registreert AWS API-aanroepen, niet de interne Kubernetes API-aanroepen die nodig zijn om pod-creatie te monitoren. Door de Kubernetes API server logs in te schakelen, worden deze gebeurtenissen naar CloudWatch Logs gestuurd, waar ze kunnen worden bekeken en geanalyseerd. Het configureren van private S3 VPC-endpoints of het inschakelen van CORS op S3-buckets heeft geen invloed op het vastleggen van Kubernetes API-gebeurtenissen. Hoewel CloudWatch wordt gebruikt om de logs te bekijken, is het inschakelen van de logging op het EKS-cluster de cruciale eerste stap om de gegevens überhaupt beschikbaar te maken.