ディレクトリのロールと権限を設定する

特定の管理者または通常のユーザーに Kubernetes クラスターと RKE2 ファイルへのアクセス権を付与するには、 sudoers ファイルを必要な設定で更新する必要があります。

次のセクションでは、管理者または通常のユーザーにアクセスを許可する必要があるファイルについて詳しく説明します。

• /var/lib/rancher/rke2/bin/kubectl 実行可能ファイルは、クラスタリソースを操作するためにsudoアクセスを必要とします。 実行可能ファイルに必要な権限をパスワードなしで付与するには、 sudoers ファイルを適宜更新します。 詳細については、次の構成サンプルを参照してください。

  USERNAME ALL = NOPASSWD: /var/lib/rancher/rke2/bin/kubectl

• /etc/rancher/rke2/ には、クラスターの構成またはクラスターへのアクセスに必要な次のファイルが格納されます。
  • クラスターを構成するために使用する /etc/rancher/rke2/config.yaml ファイルです。このファイルのデフォルトのアクセス許可は -rw-r--r-- です。 ユーザーが /etc/rancher/rke2/config.yamlを変更できるようにするには、 sudoers ファイルを適宜更新します。 詳細については、次の構成サンプルを参照してください。

    USERNAME ALL=NOPASSWD: /usr/local/bin/vim /etc/rancher/rke2/config.yaml

  • /etc/rancher/rke2/rke2.yaml クラスターを操作するために kubectlコマンドと共に使用されるファイルです。 このファイルの既定のアクセス許可は -rw-------. です。 ユーザーがクラスターを操作できるようにするには、それに応じて sudoers ファイルを更新します。 詳細については、次の構成サンプルを参照してください。

    Defaults!/var/lib/rancher/rke2/bin/kubectl env_keep += KUBECONFIG

  • /etc/rancher/rke2/registries.yaml クラスターのレジストリを構成するために必要なファイルです。 このファイルのデフォルトのアクセス許可は -rw-r--r--. ユーザーが /etc/rancher/rke2/registries.yamlを変更できるようにするには、それに応じて sudoers ファイルを更新します。 詳細については、次の構成サンプルを参照してください。

    USERNAME ALL=NOPASSWD: /usr/local/bin/vim /etc/rancher/rke2/registries.yaml

• /var/lib/rancher/rke2/ ディレクトリには、kubelet ログ、コンテナー化されたデータ、静的ポッド構成ファイル、RKE2 証明書、etcd データなどのクラスター関連データが格納されます。 管理者は、ファイルを読み取り、ディレクトリのサイズを確認する必要がある場合があります。 これを行うには、 ls、 cat、および du コマンドに必要なアクセス許可を付与する必要があります。 詳細については、次の構成サンプルを参照してください。

  USERNAME ALL=NOPASSWD: /usr/bin/ls /var/lib/rancher/rke2/*
  USERNAME ALL=NOPASSWD: /usr/bin/cat /var/lib/rancher/rke2/*
  USERNAME ALL=NOPASSWD: /usr/bin/du /var/lib/rancher/rke2/*

注:

メンテナンスの都合上、 /etc/sudoers.d/ ディレクトリの下に、このページで説明している設定を持つ別ファイルを作成することをお勧めします。