Kube-Knark 项目

追踪你的 Kubernetes 运行时！！

Kube-Knark 是一个开源追踪器，利用 pcap 和 ebpf 技术对已部署的 Kubernetes 集群进行运行时追踪。它追踪 Kubernetes API 的执行以及主节点配置文件权限的变更。追踪匹配的事件通过 Go 插件 Webhook 进行传递。

kube-knark 追踪以下内容：

• 完整的 Kubernetes API 规范 执行调用，特别是变更操作
  
• Kubernetes 主节点配置文件权限变更 CIS Kubernetes 基准规范

kube-knark 追踪数据将通过以下方式报告：

• 控制台仪表盘
• Go 插件钩子

kube-Knark 控制台：

• 要求
• 安装
• 快速开始
• 用户插件使用
• 支持的规范
• 贡献

要求

• Go 1.13+
• Linux 内核 4.15+
• Clang 10+
• LLVM
• 内核头文件
• Pcap

安装

git clone https://github.com/chen-keinan/kube-knark
cd kube-knark
make build

快速开始

无需插件执行 kube-knark

 ./kube-knark 

用户插件使用（通过 Go 插件）

Kube-knark 向用户插件暴露两个钩子 示例：

• OnK8sAPICallHook - 此钩子接受包含所有详细信息的 k8s API 调用事件（HTTP 请求/响应、匹配的 API 规范）
• OnK8sFileConfigChangeHook - 此钩子接受包含命令详细信息的主机文件配置变更事件（chown 或 chmod、参数和匹配的文件变更规范）

编译用户插件

go build -buildmode=plugin -o=~/<插件文件夹>/<插件>.so ~/<插件文件夹>/<插件>.go

将插件复制到文件夹（首次启动时会创建 .kube-knark 文件夹）

cp ~/<插件文件夹>/<插件>.so ~/.kube-knark/plugins/compile/<插件>.so

支持的规范

Kube-knark 支持两种规范，并且可以轻松扩展：

• 完整的 k8s API 规范 Kubernetes API 规范
• 主配置文件变更规范 主节点配置

这两种规范都可以通过修改 ~/.kube-knark/spec 文件夹下的规范文件轻松扩展

贡献

• 欢迎代码贡献！！ 附带测试和通过 lint 检查的贡献更受欢迎 :)
• /.dev 文件夹包含用于开发的 vagrantfile：开发说明