在K8s集群中如何查询Namespace的创建者信息？

Kubernetes原生没有内置存储资源创建者信息的字段，你可以通过以下几种常见途径追溯，优先级从高到低：

• 查询集群审计日志
  这是追溯历史操作最准确的方法，前提是你的集群已经开启了apiserver审计日志功能。你可以过滤审计日志中Namespace的创建操作，直接提取操作人、操作时间、Namespace名称信息，示例过滤命令如下：

  grep '"resource":"namespaces"' /var/log/kube-apiserver/audit.log | grep '"verb":"create"' | jq '.user.username, .objectRef.name, .requestReceivedTimestamp'
  

  如果你用的是托管K8s服务，审计日志一般会上报到云平台的日志服务中，直接按操作类型和资源类型过滤即可。

• 解析资源的managedFields字段
  Namespace元数据的managedFields字段会记录操作该资源的客户端身份信息，你可以用以下命令查询：

  kubectl get ns <替换为目标Namespace名称> -o jsonpath='{.metadata.managedFields[*].manager}'
  

  注意：该字段返回的是操作客户端标识，如果是用户通过kubectl创建会显示kubectl，如果是ServiceAccount创建会返回对应的SA名，如果你集群的用户使用带用户名的证书认证，部分场景下会直接返回对应用户名。

• 查询集群事件
  Namespace创建时会生成对应事件，默认K8s事件保留时长在1小时到7天不等（根据集群配置），如果是近期创建的Namespace可以用以下命令查询：

  kubectl get events -A | grep "Created namespace"
  

• 查询自定义注入的Annotation
  如果你的集群提前配置了MutatingAdmissionWebhook准入控制器，会自动在Namespace创建时注入创建者信息到Annotation中，直接查询对应Annotation即可，常见的查询命令如下：

  kubectl get ns <替换为目标Namespace名称> -o jsonpath='{.metadata.annotations.creator}'
  

如果以上方法都无法查询到，说明你的集群没有提前配置对应追溯能力，历史较久的Namespace无法回溯创建者，建议后续开启审计日志或者配置准入控制器自动注入创建者标注，方便资源治理。

内容的提问来源于stack exchange，提问作者Vrushali