Kubernetes NodeLogQuery 如何安全地查詢節點系統日誌？
題幹與適用場景
維運平台需要從 Kubernetes 節點查詢 systemd 日誌協助排障，卻不能把節點檔案系統暴露給租戶。請說明 Kubernetes v1.36 穩定版 NodeLogQuery 的工作邊界、權限控制、查詢參數、分頁與限流，並給出節點不可達或日誌量過大時的處理方案。
面試官考察點
- 是否區分 NodeLogQuery 與直接讀取節點檔案、容器日誌和集中式日誌系統。
- 是否能說明
enableSystemLogQuery、Kubelet 驗證授權和租戶隔離。 - 是否考慮時間範圍、日誌級別、輸出大小、逾時和並發限制。
- 是否能給出可觀測、可稽核、可回滾的維運流程。
回答前需要釐清的問題
- 需要查詢的是節點服務日誌、核心日誌，還是 Pod 標準輸出？三者入口不同。
- 呼叫方是叢集管理員、值班 SRE，還是租戶自助平台？權限邊界不同。
- 查詢是否允許跨節點、長時間範圍和即時跟隨？這會影響節點負載。
- 叢集是否已有日誌採集系統，可以優先提供歷史檢索？
30 秒回答框架
先限定目標：NodeLogQuery 是 Kubelet 提供的受控節點日誌查詢能力，不是任意檔案讀取。然後說明流程：呼叫方經過驗證授權，校驗節點與查詢範圍，Kubelet 呼叫節點日誌介面，返回有上限的結果。最後補邊界：啟用 enableSystemLogQuery，對查詢時間、行數、位元組、並發和逾時限流；歷史檢索優先走集中式日誌，異常請求進入稽核和告警。
分步驟深入解答
1. 明確日誌來源與能力邊界
NodeLogQuery 面向節點系統日誌，例如 systemd 日誌和核心日誌；Pod stdout/stderr 應走容器日誌或集中式採集。查詢介面不應允許呼叫方傳入任意檔案路徑、讀取憑證目錄或繞過 Kubelet 授權。對租戶只暴露經過篩選的節點事件或聚合結果，原始節點日誌保留給受控的 SRE 角色。
2. 驗證、授權與租戶隔離
Kubelet HTTPS 端點先完成客戶端驗證，再按請求屬性做授權。API Server 或維運代理使用專用身分，規則限制到允許的節點日誌能力；不要給租戶 nodes/proxy 或等價的寬權限。平台層還要校驗租戶與節點的綁定關係，防止透過修改節點名稱或標籤存取其他租戶的節點。
3. 查詢參數、資源保護與結果處理
要求呼叫方提供明確的節點、服務單元、時間範圍和日誌級別，預設短時間視窗。服務端設定最大持續時間、返回位元組數、行數、並發數和每租戶速率；超過限制時返回可重試的分頁令牌或明確錯誤。結果可以串流傳輸，但必須在連線中斷、逾時或達到上限時釋放 Kubelet 和代理資源。
4. 觀測、故障處理與回滾
記錄呼叫身分、節點、參數摘要、開始結束時間、返回位元組、截斷原因和授權結果，避免把日誌正文寫入稽核日誌。節點不可達時快速失敗並建議使用集中式日誌；Kubelet 過載時觸發熔斷和告警。Kubernetes v1.36 中 NodeLogQuery 穩定並預設啟用，但 enableSystemLogQuery 仍是維運設定開關，發布時先灰度節點並保留關閉路徑。
高品質示範回答
我會把 NodeLogQuery 設計成受控的節點診斷介面，而不是檔案瀏覽器。首先區分系統日誌、容器日誌和集中式歷史檢索；呼叫方通過 Kubelet 驗證授權，只能查詢獲准節點和日誌類型。租戶不能取得 nodes/proxy 等寬權限，平台還要做租戶與節點綁定校驗。
查詢必須帶節點、服務單元、時間範圍和級別，預設短視窗，並設定最大位元組、行數、並發、速率和逾時。結果支援分頁或串流傳輸，達到上限就截斷並返回原因。稽核記錄身分、節點、參數摘要、耗時、大小和授權結果，不記錄正文。節點不可達或 Kubelet 過載時快速失敗、熔斷並引導使用者到集中式日誌。v1.36 已將 NodeLogQuery 穩定化並預設啟用，但我仍會灰度啟用 enableSystemLogQuery 並準備回滾。
常見錯誤
- 把 NodeLogQuery 當成任意節點檔案讀取介面。
- 直接給租戶
nodes/proxy，忽略節點和租戶隔離。 - 允許無限時間範圍、無限輸出和無限並發。
- 把日誌正文寫入稽核日誌，造成敏感資訊二次洩露。
- 節點不可達時反覆重試，進一步放大控制面或 Kubelet 負載。
追問及應對
追問一：為什麼歷史查詢不應該全部走 NodeLogQuery？
節點日誌介面適合近即時診斷，歷史檢索應由集中式採集系統承接。這樣可以避免長時間讀取佔用 Kubelet 資源，並提供索引、租戶隔離和留存策略。
追問二：如何證明查詢沒有越權？
為每次請求記錄身分、節點、資源和授權結果，用合成測試驗證允許節點可讀、其他租戶節點被拒絕，並檢查代理不會接受任意路徑或任意節點參數。
追問三：日誌中包含憑證怎麼辦？
預設不在回應中做不可逆的「猜測式脫敏」，而是減少可查詢範圍、限制角色和留存，並在採集端執行結構化脫敏。發現高風險欄位時立即撤銷相關權限並輪換憑證。