Configurer des rôles et des autorisations de répertoire

Pour accorder des autorisations à un administrateur spécifique ou à un utilisateur régulier afin qu’il puisse accéder au cluster Kubernetes et au fichier RKE2, vous devez mettre à jour le fichier sudoers avec les paramètres requis.

La section suivante fournit des détails sur les fichiers auxquels vous devez accorder l’accès à l’administrateur ou à l’utilisateur régulier.

• L’exécutable /var/lib/rancher/rke2/bin/kubectl nécessite un accès sudo pour fonctionner sur les ressources du cluster. Pour accorder les autorisations requises à l’exécutable sans mot de passe, mettez à jour le fichier sudoers en conséquence. Pour plus de détails, consultez l’exemple de configuration suivant :

  USERNAME ALL = NOPASSWD: /var/lib/rancher/rke2/bin/kubectl

• /etc/rancher/rke2/ stocke les fichiers suivants requis pour configurer ou accéder au cluster :
  • Fichier /etc/rancher/rke2/config.yaml utilisé pour configurer le cluster. L’autorisation par défaut de ce fichier est -rw-r--r--. Pour permettre aux utilisateurs de modifier /etc/rancher/rke2/config.yaml, mettez à jour le fichier sudoers en conséquence. Pour plus de détails, consultez l’exemple de configuration suivant :

    USERNAME ALL=NOPASSWD: /usr/local/bin/vim /etc/rancher/rke2/config.yaml

  • Fichier /etc/rancher/rke2/rke2.yaml utilisé avec la commande kubectl pour intervenir sur le cluster. L’autorisation par défaut de ce fichier est -rw-------.. Pour permettre aux utilisateurs d’intervenir sur le cluster, mettez à jour le fichier sudoers en conséquence. Pour plus de détails, consultez l’exemple de configuration suivant :

    Defaults!/var/lib/rancher/rke2/bin/kubectl env_keep += KUBECONFIG

  • Fichier /etc/rancher/rke2/registries.yaml requis afin de configurer le registre pour le cluster. L’autorisation par défaut de ce fichier est -rw-r--r--.. Pour permettre aux utilisateurs de modifier /etc/rancher/rke2/registries.yaml, mettez à jour le fichier sudoers en conséquence. Pour plus de détails, consultez l’exemple de configuration suivant :

    USERNAME ALL=NOPASSWD: /usr/local/bin/vim /etc/rancher/rke2/registries.yaml

• Le répertoire /var/lib/rancher/rke2/ stocke les données liées au cluster, qui incluent les journaux kubelet, les données conteneurisées, les fichiers de configuration de pod statiques, les certificats RKE2, ainsi que les données etcd. Il peut être demandé aux administrateurs de lire le fichier et de vérifier la taille du répertoire. Pour ce faire, vous devez accorder les autorisations requises aux commandes ls, cat et du. Pour plus de détails, consultez l’exemple de configuration suivant :

  USERNAME ALL=NOPASSWD: /usr/bin/ls /var/lib/rancher/rke2/*
  USERNAME ALL=NOPASSWD: /usr/bin/cat /var/lib/rancher/rke2/*
  USERNAME ALL=NOPASSWD: /usr/bin/du /var/lib/rancher/rke2/*

Remarque :

À des fins de maintenance, nous vous recommandons de créer un fichier séparé dans le répertoire /etc/sudoers.d/ en respectant la configuration décrite sur cette page.