设置目录角色和权限

要向特定的管理员或普通用户授予访问 Kubernetes 集群和 RKE2 文件的权限，您必须使用所需的设置更新 sudoers 文件。

以下部分提供了有关必须向管理员或普通用户授予访问权限的文件的详细信息。

• /var/lib/rancher/rke2/bin/kubectl 可执行文件需要 sudo 访问权限才能对集群资源进行操作。要向可执行文件授予所需权限而无需密码，请相应地更新 sudoers 文件。有关详细信息，请参阅以下配置示例：

  USERNAME ALL = NOPASSWD: /var/lib/rancher/rke2/bin/kubectl

• /etc/rancher/rke2/ 存储配置或访问集群所需的以下文件：
  • /etc/rancher/rke2/config.yaml 文件用于配置集群。此文件的默认权限为 -rw-r--r--。要允许用户修改 /etc/rancher/rke2/config.yaml，请相应地更新 sudoers 文件。有关详细信息，请参阅以下配置示例：

    USERNAME ALL=NOPASSWD: /usr/local/bin/vim /etc/rancher/rke2/config.yaml

  • /etc/rancher/rke2/rke2.yaml 文件与 kubectl 命令一起使用以在集群上运行。此文件的默认权限为-rw-------. 。要允许用户在集群上进行操作，请相应地更新 sudoers 文件。有关详细信息，请参阅以下配置示例：

    Defaults!/var/lib/rancher/rke2/bin/kubectl env_keep += KUBECONFIG

  • 配置集群注册表所需的 /etc/rancher/rke2/registries.yaml 文件。此文件的默认权限为 -rw-r--r--.。要允许用户修改 /etc/rancher/rke2/registries.yaml，请相应地更新 sudoers 文件。有关详细信息，请参阅以下配置示例：

    USERNAME ALL=NOPASSWD: /usr/local/bin/vim /etc/rancher/rke2/registries.yaml

• /var/lib/rancher/rke2/ 目录存储集群相关数据，其中包括 kubelet 日志、容器化数据、静态 Pod 配置文件、RKE2 证书和 etcd 数据。管理员可能需要读取文件并检查目录的大小。为此，您必须为 ls、cat 和 du 命令提供所需的权限。有关详细信息，请参阅以下配置示例：

  USERNAME ALL=NOPASSWD: /usr/bin/ls /var/lib/rancher/rke2/*
  USERNAME ALL=NOPASSWD: /usr/bin/cat /var/lib/rancher/rke2/*
  USERNAME ALL=NOPASSWD: /usr/bin/du /var/lib/rancher/rke2/*

备注：

出于维护目的，我们建议在 /etc/sudoers.d/ 目录下使用此页面中描述的配置创建一个单独的文件。