跳至主要内容

自訂角色

在 Rancher 中，_角色_決定使用者可以在叢集或專案中執行什麼操作。

請注意，_角色_與_權限_不同，權限決定您可以存取哪些叢集和專案。

危險

自訂角色可能會啟用權限提升。有關詳細資訊，請參閱本節。

先決條件​

要完成此頁面上的任務，需要以下權限之一：

建立自訂角色​

雖然 Rancher 預設附帶一組使用者角色，但您也可以建立自訂角色，以在 Rancher 中為使用者提供非常特定的權限。

新增自訂角色的步驟會因 Rancher 的版本而異。

  1. 在左上角，點擊 ☰ > 使用者與身份驗證。
  2. 在左側導覽列中，點擊 角色範本。
  3. 選擇一個標籤以確定您要新增的角色範圍。標籤包括：
  • Global： 該角色有效，允許成員管理全域範圍的資源。
  • Cluster： 該角色在將成員新增/管理到叢集時有效。
  • Project/Namespaces： 該角色在將成員新增/管理到專案或命名空間時有效。

  1. 根據範圍，點擊 Create Global Role、Create Cluster Role 或 Create Project/Namespaces Role。

  2. 輸入角色的 Name。

  3. 選用：選擇 Cluster/Project Creator Default 選項，以在使用者建立新叢集或專案時將此角色分配給他們。使用此功能，您可以擴展或限制叢集/專案建立者的預設角色。

    預設情況下，Cluster Creator Default 和 Project Creator Default 角色分別為 Cluster Owner 和 Project Owner。

  4. 使用 Grant Resources 選項將個別的 Kubernetes API 端點分配給角色。

    檢視 Rancher 建立的預設角色相關資源時，如果一個行項目上有多個 Kubernetes API 資源，則該資源將附加 (Custom)。這些不是自訂資源，只是表示有多個 Kubernetes API 資源作為一個資源。

    Resource 文字欄位提供了一種搜尋預定義 Kubernetes API 資源的方法，或為授權輸入自訂資源名稱。在此欄位中輸入資源名稱後，必須從下拉式選單中選擇預定義或 (Custom) 資源。

    您還可以選擇可用於您分配的每個端點的個別 cURL 方法（Create、Delete、Get 等）。

  5. 使用 Inherit from 選項將個別 Rancher 角色分配給您的自訂角色。注意：當自訂角色從父角色繼承時，在刪除子角色之前無法刪除父角色。

  6. 點擊 Create。

建立從另一個角色繼承的自訂角色​

如果您有一群需要在 Rancher 中擁有相同存取權層級的個人，則建立自訂角色可以節省時間，在該角色中，來自另一個角色（例如管理員角色）的所有規則都會複製到新角色中。這使您只需設定現有角色和新角色之間的變化。

然後可以將自訂角色分配給使用者或群組，以便使用者首次登入 Rancher 時該角色生效。

要根據現有角色建立自訂角色，

  1. 在左上角，點擊 ☰ > 使用者與身份驗證。

  2. 在左側導覽列中，點擊 角色範本。

  3. 點擊 Cluster 或 Project/Namespaces 標籤。根據範圍點擊 Create Cluster Role 或 Create Project/Namespaces Role。注意：只有叢集角色和專案/命名空間角色可以從另一個角色繼承。

  4. 輸入角色的名稱。

  5. 在 Inherit From 標籤中，選擇自訂角色將從中繼承權限的角色。

  6. 在 Grant Resources 標籤中，選擇將為具有自訂角色的使用者啟用的 Kubernetes 資源操作。

    Resource 文字欄位提供了一種搜尋預定義 Kubernetes API 資源的方法，或為授權輸入自訂資源名稱。在此欄位中輸入資源名稱後，必須從下拉式選單中選擇預定義或 (Custom) 資源。

  7. 選用：將角色分配為預設。

  8. 點擊 Create。

刪除自訂角色​

刪除自訂角色時，將刪除具有此自訂角色的所有全域角色繫結。

如果使用者僅被分配一個自訂角色，並且該角色被刪除，則使用者將失去對 Rancher 的存取權。要使使用者重新獲得存取權，管理員需要編輯使用者並套用新的全域權限。

可以刪除自訂角色，但無法刪除內建角色。

要刪除自訂角色，

  1. 在左上角，點擊 ☰ > 使用者與身份驗證。
  2. 在左側導覽列中，點擊 角色範本。
  3. 前往應刪除的自訂全域角色，然後點擊 ⋮ (…) > Delete。
  4. 點擊 Delete。

將自訂角色分配給群組​

如果您有一群需要在 Rancher 中擁有相同存取權層級的個人，則建立自訂角色可以節省時間。將角色分配給群組後，群組中的使用者在首次登入 Rancher 時即具有適當的存取權層級。

當群組中的使用者登入時，他們預設會獲得內建的標準使用者全域角色。他們還將獲得分配給其群組的權限。

如果使用者從外部身份驗證提供者群組中移除，他們將失去分配給群組的自訂角色的權限。他們將繼續擁有其個人的標準使用者角色。

先決條件：

只有在以下情況下，您才能將全域角色分配給群組：

要將自訂角色分配給群組，請執行以下步驟：

  1. 在左上角，點擊 ☰ > 使用者與身份驗證。
  2. 在左側導覽列中，點擊 Groups。
  3. 前往將被分配自訂角色的現有群組，然後點擊 ⋮ > Edit Config。
  4. 如果您已建立角色，它們將顯示在 Custom 部分。選擇將分配給群組的任何自訂角色。
  5. 選用：在 Global Permissions 或 Built-in 部分，選擇群組應具有的任何其他權限。
  6. 點擊 Save。

結果： 當群組中的使用者登入 Rancher 時，自訂角色將生效。

權限提升​

Configure Catalogs 自訂權限功能強大，應謹慎使用。當管理員將 Configure Catalogs 權限分配給標準使用者時，可能會導致權限提升，使用者可以為自己授予對 Rancher 佈建叢集的管理員存取權。任何擁有此權限的人都應被視為等同於管理員。