基於角色的存取控制
本節描述使用 rancher-compliance 應用程式所需的權限。
預設情況下，rancher-compliance 是僅供叢集管理員使用的功能。
然而，rancher-compliance chart 安裝了這兩個預設的 ClusterRoles：
- compliance-admin
- compliance-view
在 Rancher 中，預設情況下只有叢集擁有者和全域管理員擁有 compliance-admin 存取權。
叢集管理員存取權
預設情況下，Rancher 合規掃描是僅供叢集管理員使用的功能。 這意味著只有 Rancher 全域管理員和叢集的叢集擁有者可以：
- 安裝/解除安裝 rancher-compliance 應用程式
- 查看合規 CRD 的導航連結 - ClusterScanBenchmarks、ClusterScanProfiles、ClusterScans
- 列出預設的 ClusterScanBenchmarks 和 ClusterScanProfiles
- 建立/編輯/刪除新的 ClusterScanProfiles
- 建立/編輯/刪除新的 ClusterScan 以在叢集上執行合規掃描
- 查看和下載 ClusterScan 完成後建立的 ClusterScanReport
Kubernetes 預設角色的預設權限摘要
rancher-compliance 建立三個 ClusterRoles，並將合規 CRD 存取權新增到以下預設 K8s ClusterRoles：
| chart 建立的 ClusterRole | 預設 K8s ClusterRole | 角色提供的權限 |
|---|---|---|
compliance-admin | admin | 能夠對 clusterscanbenchmarks、clusterscanprofiles、clusterscans、clusterscanreports CR 進行 CRUD 操作 |
compliance-view | view | 能夠列出（R）clusterscanbenchmarks、clusterscanprofiles、clusterscans、clusterscanreports CR |
預設情況下，只有叢集擁有者角色才能管理和使用 rancher-compliance 功能。
其他 Rancher 角色（cluster-member、project-owner、project-member）預設沒有任何權限來管理和使用 rancher-compliance 資源。
但如果叢集擁有者想要將存取權委派給其他使用者，他們可以透過手動在這些使用者和上述合規 ClusterRoles 之間建立 ClusterRoleBindings 來實現。
rancher-compliance ClusterRoles 不支援自動角色聚合。