Kube Audit MCP

🚀 kube-audit-mcp

kube-audit-mcpは、AIエージェント、アシスタント、チャットボットにKubernetesの監査ログを照会する機能を提供する、Model Context Protocol (MCP)サーバーです。

🚀 クイックスタート

kube-audit-mcpを使うことで、AIエージェントやチャットボットがKubernetesの監査ログを照会できるようになります。以下のセクションでは、インストール方法、MCPクライアントの設定、トランスポートオプション、設定方法、利用可能なツールについて説明します。

✨ 主な機能

• AIエージェント、アシスタント、チャットボットにKubernetesの監査ログを照会する機能を提供します。
• 複数のMCPクライアントと互換性があり、標準的な設定で動作します。
• 複数のログプロバイダー（Alibaba Cloud Log Service、AWS CloudWatch Logs、Google Cloud Logging）をサポートしています。

📦 インストール

1. まず、リリースページから最新のリリースをダウンロードしてインストールします。

   • Dockerを使ってインストールすることもできます：

     docker pull quay.io/mozillazg/kube-audit-mcp:latest
     

2. 次に、Kubernetesの監査ログのプロバイダーを設定します。詳細は設定を参照してください。

💻 使用例

MCPクライアントの設定

理論的には、すべてのMCPクライアントがkube-audit-mcpと互換性があります。

標準設定は、ほとんどのクライアントで動作します：

{
  "mcpServers": {
    "kube-audit": {
      "type": "stdio",
      "command": "kube-audit-mcp",
      "args": [
        "mcp"
      ]
    }
  }
}

{
  "mcpServers": {
    "kube-audit": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "-v",
        "/etc/kube-audit-mcp/config.yaml:/etc/kube-audit-mcp/config.yaml:ro",
        "quay.io/mozillazg/kube-audit-mcp:latest",
        "mcp",
        "--config",
        "/etc/kube-audit-mcp/config.yaml"
      ],
      "env": {
        "ALIBABA_CLOUD_ACCESS_KEY_ID": "needed_if_you_use_alibaba_sls_provider",
        "ALIBABA_CLOUD_ACCESS_KEY_SECRET": "needed_if_you_use_alibaba_sls_provider",
        "AWS_ACCESS_KEY_ID": "needed_if_you_use_aws_cloudwatch_logs_provider",
        "AWS_SECRET_ACCESS_KEY": "needed_if_you_use_aws_cloudwatch_logs_provider",
        "GOOGLE_APPLICATION_CREDENTIALS": "needed_if_you_use_gcp_cloud_logging_provider"
      }
    }
  }
}

Claude Code

claude mcp add kube-audit kube-audit-mcp mcp

Claude Desktop

Gemini CLI

VS Code

# For VS Code
code --add-mcp '''{"name":"kube-audit","command":"kube-audit-mcp","args":["mcp"]}'''

kubectl-ai

servers:
  # Local MCP server (stdio-based)
  - name: kube-audit
    command: kube-audit-mcp
    args:
      - mcp

トランスポートオプション

STDIOトランスポート（デフォルト）

デフォルトのトランスポートモードは、標準入出力を使って通信します。 これは、Claude Desktopなどのほとんどのクライアントが使用する標準的なMCPトランスポートです。

# Run with default stdio transport
kube-audit-mcp mcp

# Or explicitly specify stdio
kube-audit-mcp mcp --transport stdio

📚 ドキュメント

設定

kube-audit-mcpは、Kubernetesの監査ログのプロバイダーを指定するための設定ファイルが必要です。 設定ファイルは通常、~/.config/kube-audit-mcp/config.yamlにあるか、--configフラグで指定します。

サンプル設定

以下のコマンドでサンプル設定を取得できます：

kube-audit-mcp sample-config

default_cluster: prod              # The default cluster to use
clusters:                          # List of clusters
  - name: prod                     # Name of the cluster
    provider:                      # Provider configuration, see below for details
      name: aws-cloudwatch-logs    # Use CloudWatch Logs as the provider
      aws_cloudwatch_logs:
        log_group_name: /aws/eks/test/cluster  # Replace with your CloudWatch Logs log group name
  - name: dev                     # Name of the cluster
    provider:
      name: alibaba-sls            # Use Alibaba Cloud Log Service as the provider
      alibaba_sls:
        endpoint: cn-hangzhou.log.aliyuncs.com  # Replace with your Log Service endpoint
        project: k8s-log-cxxx                   # Replace with your Log Service project
        logstore: audit-cxxx                    # Replace with your Log Service logstore
  - name: test
    provider:
      name: gcp-cloud-logging      # Use Google Cloud Logging as the provider
      gcp_cloud_logging:
        project_id: test-233xxx # Replace with your Project ID
        cluster_name: test-cluster  # Replace with your GKE cluster name (optional)

または、サンプル設定をデフォルトの設定ファイルの場所に保存します：

kube-audit-mcp sample-config --save

プロバイダー

Alibaba Cloud Log Service

前提条件:

• Alibaba Cloud CLIをインストールし、資格情報を設定する
• あなたのAlibaba Cloudユーザーまたはロールが、指定されたログサービスプロジェクトとログストアから読み取るための必要な権限を持っていることを確認してください。 以下のポリシーを使って必要な権限を付与することができます：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:GetLogStoreLogs"
      ],
      "Resource": "*"
    }
  ]
}

設定:

name: alibaba-sls
alibaba_sls:
  endpoint: cn-hangzhou.log.aliyuncs.com  # Replace with your Log Service endpoint
  logstore: ${log_store}                  # Replace with your Log Service logstore
  project: ${project_name}                # Replace with your Log Service project

AWS CloudWatch Logs

前提条件:

• AWS CLIをインストールし、資格情報を設定する
• あなたのAWS IAMユーザーまたはロールが、指定されたCloudWatch Logsロググループから読み取るための必要な権限を持っていることを確認してください。 以下のポリシーを使って必要な権限を付与することができます：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "logs:StartQuery",
        "logs:GetQueryResults"
      ],
      "Resource": "*"
    }
  ]
}

設定:

name: aws-cloudwatch-logs
aws_cloudwatch_logs:
  log_group_name: /aws/eks/${cluster_name}/cluster # Replace with your CloudWatch Logs log group name

Google Cloud Logging

前提条件:

• Google Cloud CLIをインストールし、Application Default Credentialsを設定する
• あなたのGoogle Cloud IAMユーザーまたはサービスアカウントが、指定されたCloud Loggingログバケットから読み取るための必要な権限を持っていることを確認してください。 以下のロールを使って必要な権限を付与することができます：roles/logging.viewer。

設定:

name: gcp-cloud-logging
gcp_cloud_logging:
  project_id: ${project_id}         # Replace with your Project ID
  cluster_name: ${cluster_name}     # Replace with your GKE cluster name (optional)

利用可能なツール

このMCPサーバーは、AIエージェントに以下のツールを公開しています：

query_audit_log

設定されたプロバイダーからKubernetesの監査ログを照会します。これは、クラスター内のアクティビティを調査するための主要なツールです。

パラメーター:

• cluster_name (文字列、オプション): 照会するクラスターの名前。list_clustersツールで利用可能なクラスターを確認できます。デフォルトは設定されたdefault_clusterです。
• start_time (文字列、オプション): 照会の開始時間。ISO 8601形式 (2024-01-01T10:00:00) または相対時間 (7d, 1h, 30m) で指定できます。デフォルトは7dです。
• end_time (文字列、オプション): 照会の終了時間。省略した場合、現在の時間になります。
• limit (数値、オプション): 返すログエントリの最大数。デフォルトは10で、最大は20です。
• namespace (文字列、オプション): 特定の名前空間でログをフィルタリングします。サフィックスワイルドカード（例：kube-*）をサポートしています。
• resource_types (文字列の配列、オプション): 1つ以上のKubernetesリソースタイプでフィルタリングします（例：pods, deployments）。短縮名（例：po, deploy）をサポートしています。利用可能なタイプを見つけるには、list_common_resource_typesを使用してください。
• resource_name (文字列、オプション): 特定のリソース名でフィルタリングします。サフィックスワイルドカードをサポートしています。
• verbs (文字列の配列、オプション): 1つ以上のアクション動詞でフィルタリングします（例：create, delete, update）。
• user (文字列、オプション): アクションを実行したユーザーでフィルタリングします。サフィックスワイルドカードをサポートしています。

list_clusters

config.yamlファイルに設定されているすべてのクラスターをリストします。これは、照会の対象となるクラスターを見つけるのに役立ちます。

パラメーター: なし

list_common_resource_types

一般的なKubernetesリソースタイプのリストをカテゴリー別（例："Core Resources", "Apps Resources"）に返します。これは、query_audit_logツールのresource_typesパラメーターの正しい値を見つけるのに役立ちます。

パラメーター: なし