审计日志从请求到告警的关键链路
核心目标是记录“谁在什么时候对什么资源做了什么动作”，并把高风险事件送入可检索、可告警的后端。
访问来源
kubectl / CI
控制器组件
API Server
认证 Authentication
鉴权 Authorization
准入 Admission
审计阶段贯穿请求生命周期
审计策略匹配
RequestReceived：接收请求
ResponseStarted：开始响应
ResponseComplete：完成响应
Panic：异常中断
按用户、verb、resource、namespace、level 过滤
审计后端与告警消费
log backend：写本地文件或标准输出
webhook backend：投递日志管道 / SIEM
规则消费：高危 verb、异常主体、敏感资源
落地检查点
1. 策略文件已加载且 API Server 可读取
2. 后端写入有轮转、保留周期和容量监控
3. 告警规则能区分正常运维与异常访问