Rollen-Ebenen
Global: Rancher-weite Rechte (User anlegen,
Cluster erstellen). Cluster:
cluster-owner, cluster-member.
Project: project-owner,
project-member, read-only.
RoleTemplate (management.cattle.io)
definiert die aggregierten Regelsätze, custom Rollen davon
abgeleitet.
Auth-Provider
Local, Active Directory, LDAP (OpenLDAP/FreeIPA), SAML (Keycloak, Okta, ADFS, PingID, Shibboleth), OIDC (generisch, Keycloak, Amazon Cognito), GitHub (OAuth oder GitHub App), Google, Azure AD/Entra.
Gruppen-Mapping treibt die Rollen-Zuweisung. Ab 2.15 blendet das
Feature-Flag hide-local-auth-provider (Default aus),
wenn aktiviert, den lokalen Login aus, sobald ein externer Provider aktiv ist.
Mapping auf Kubernetes-RBAC
Rancher-Rollen sind CRDs im local-Cluster
(GlobalRole, RoleTemplate, Bindings
CRTB/PRTB), kein natives RBAC im
Downstream. Der Management-Controller projiziert sie dort als
ClusterRole/ClusterRoleBinding/RoleBinding.
Zugriff läuft über den Proxy als
impersonate-User; native K8s-RBAC greift zusätzlich.
Gruppen aus dem Auth-Provider → Rancher-Rolle → K8s-Binding.
Token & Härtung (Defaults 2.15)
Session:
auth-user-session-ttl-minutes 960 (16 h),
Idle-Timeout auth-user-session-idle-ttl-minutes
ebenfalls 960.
Token: Obergrenze
auth-token-max-ttl-minutes 129600 (90 d),
Kubeconfig-Token kubeconfig-default-token-ttl-minutes
43200 (30 d).
Audit-Log: Helm auditLog.enabled
(Default false), auditLog.level 0 bis 3.
Fleet-Workspaces: Standard User dürfen sie ab
Werk anlegen, bis zu den Patches vom 29.10.2026 der Einstieg für
CVE-2026-94290 (kritisch, cluster-admin auf local). Wer
das nicht will, setzt statt Standard User eine Kopie davon ohne
create auf fleetworkspaces als
newUserDefault und bindet Bestandsnutzer um.