跳至主要内容

使用者和群組

Rancher 依賴使用者和群組來判斷誰可以登入 Rancher 以及他們可以存取哪些資源。當您設定外部身份驗證提供者時,來自該提供者的使用者將能夠登入您的 Rancher 伺服器。當使用者登入時,身份驗證提供者會向您的 Rancher 伺服器提供使用者所屬的群組清單。

對叢集、專案和全域 DNS 提供者及條目的存取可以透過將個別使用者或群組新增到這些資源來控制。當您將群組新增到資源時,身份驗證提供者中該群組的所有成員使用者都將能夠使用您為該群組指定的權限存取該資源。如需有關角色和權限的更多資訊,請參閱基於角色的存取控制。

管理成員​

將使用者或群組新增到資源時,您可以透過開始輸入他們的名稱來搜尋使用者或群組。Rancher 伺服器將查詢身份驗證提供者以尋找與您輸入的內容匹配的使用者和群組。搜尋僅限於您目前登入的身份驗證提供者。例如,如果您已啟用 GitHub 身份驗證但使用本地使用者帳戶登入,您將無法搜尋 GitHub 使用者或群組。

所有使用者,無論是本地使用者還是來自身份驗證提供者的使用者,都可以被檢視和管理。在左上角,點擊 ☰ > Users & Authentication。在左側導覽列中,點擊 Users。

SAML 提供者注意事項
  • 在 Rancher 中為使用者和群組分配權限時,不會驗證它們。
  • 新增使用者時,必須正確輸入確切的使用者 ID(即 UID Field)。當您輸入使用者 ID 時,不會搜尋其他可能匹配的使用者 ID。
  • 新增群組時,您必須從文字方塊旁邊的下拉式選單中選擇群組。Rancher 假設來自文字方塊的任何輸入都是使用者。
  • 群組下拉式選單僅顯示您所屬的群組。但是,如果您擁有管理員權限或受限管理員權限,您可以加入您不是成員的群組。

使用者資訊​

Rancher 會維護透過身份驗證提供者登入的每個使用者的資訊。此資訊包括使用者是否被允許存取您的 Rancher 伺服器以及使用者所屬的群組清單。Rancher 保留此使用者資訊,以便 CLI、API 和 kubectl 可以根據使用者在身份驗證提供者中的群組成員資格準確反映使用者所擁有的存取權限。

每當使用者使用身份驗證提供者透過 UI 登入時,Rancher 會自動更新此使用者資訊。

自動刷新使用者資訊​

即使在使用者透過 UI 登入之前,Rancher 也會定期刷新使用者資訊。您可以控制 Rancher 執行此刷新的頻率。

兩個設定控制此行為:

  • auth-user-info-max-age-seconds

    此設定控制使用者資訊在 Rancher 刷新之前可以有多舊。如果使用者進行 API 呼叫(直接或透過使用 Rancher CLI 或 kubectl)並且自使用者上次刷新以來的時間大於此設定,則 Rancher 將觸發刷新。此設定預設為 3600 秒,即 1 小時。

  • auth-user-info-resync-cron

    此設定控制為所有使用者重新同步身份驗證提供者資訊的週期性排程。無論使用者最近是否登入或使用過 API,這都將導致使用者以指定的間隔刷新。此設定預設為 0 0 * * *,即每天午夜一次。請參閱 Cron 文件以取得有關此設定的有效值的更多資訊。

要更改這些設定:

  1. 在左上角,點擊 ☰ > Global Settings。
  2. 前往您想要設定的設定並點擊 ⋮ > Edit Setting。
備註

由於 SAML 不支援使用者查找,基於 SAML 的身份驗證提供者不支援定期刷新使用者資訊。使用者資訊只會在使用者登入 Rancher UI 時刷新。

手動刷新使用者資訊​

如果您不確定 Rancher 上次執行使用者資訊自動刷新的時間,您可以執行所有使用者的手動刷新。

  1. 在左上角,點擊 ☰ > Users & Authentication。
  2. 在 Users 頁面上,點擊 Refresh Group Memberships。

結果: Rancher 刷新所有使用者的使用者資訊。請求此刷新將更新哪些使用者可以存取 Rancher 以及每個使用者所屬的所有群組。

備註

由於 SAML 不支援使用者查找,基於 SAML 的身份驗證提供者不支援手動刷新使用者資訊的功能。使用者資訊只會在使用者登入 Rancher UI 時刷新。

最小密碼長度​

預設情況下,使用者密碼必須至少為 12 個字元長。但是,您可以自訂密碼長度需求:

  1. 在左上角,點擊 ☰ > Global Settings。
  2. 前往 password-min-length 並點擊 ⋮ > Edit Setting。
  3. 輸入一個介於 2 和 256 之間的整數值,然後點擊 Save。

工作階段長度​

每個使用者工作階段的預設長度 (TTL) 是可調整的。預設工作階段長度為 16 小時。

  1. 在左上角,點擊 ☰ > Global Settings。
  2. 前往 auth-user-session-ttl-minutes 並點擊 ⋮ > Edit Setting。
  3. 以分鐘為單位輸入工作階段長度應持續的時間量,然後點擊 Save。

結果: 使用者在設定的分鐘數後會自動登出 Rancher。