Restructure Chinese docs

2026-09-25 20:48:11 +00:00 · 2022-10-25 13:41:06 -07:00
parent 82db405820
commit 4789edd92c
269 changed files with 803 additions and 1831 deletions
@@ -23,24 +23,25 @@ title: 备份配置

 rancher-backup 通过调用 kube-apiserver 来收集资源。apiserver 返回的对象会被解密，所以即使启用了[静态加密](https://kubernetes.io/docs/tasks/administer-cluster/encrypt-data/)，备份收集的加密对象也会是明文。

-为避免以明文形式存储资源，你可以使用静态加密使用的同一个 encryptionConfig 文件，对备份中的特定资源进行加密。
+为避免以明文形式存储资源，你可以使用与静态加密相同的 `EncryptionConfiguration` 文件来加密备份中的特定资源。

 :::note 重要提示：

-`rancher-backup` operator 不会保存 encryptionConfig 文件，因此请自行保存该文件。
-执行还原时需要使用同一个 encryptionFile。
+rancher-backup Operator 不会保存 `EncryptionConfiguration`，因此在备份中加密对象时，你必须自行保存该文件。
+
+例如，[将 Rancher 迁移到新集群](../../how-to-guides/new-user-guides/backup-restore-and-disaster-recovery/migrate-rancher-to-new-cluster.md)时，该文件可用于在新集群中重新创建 secret。

 :::

-Operator 将这个 encryptionConfig 用作 Kubernetes 密文，该密文必须在 operator 的命名空间中。Rancher 将 `rancher-backup` operator 安装到 `cattle-resources-system` 命名空间中。因此，请在该命名空间中创建这个 encryptionConfig 密文。
+Operator 将 `EncryptionConfiguration` 用作 `cattle-resources-system` 命名空间中的 Kubernetes Secret，在 Secret 数据中，它位于名为 `encryption-provider-config.yaml` 的 key 下面。

 对于 `EncryptionConfiguration`，你可以使用 [Kubernetes 文档中提供的示例](https://kubernetes.io/docs/tasks/administer-cluster/encrypt-data/#understanding-the-encryption-at-rest-configuration)。

-要创建密文，加密配置文件必须命名为 `encryption-provider-config.yaml`，而且必须使用 `--from-file` 标志来创建这个密文。
+为确保在 secret 中使用正确的密钥，加密配置文件必须命名为 `encryption-provider-config.yaml`。下面的命令使用 `--from-file` 标志来创建具有正确密钥名称的 Secret。

 将 `EncryptionConfiguration` 保存到名为 `encryption-provider-config.yaml` 的文件中，并运行以下命令：

-```
+```bash
 kubectl create secret generic encryptionconfig \
  --from-file=./encryption-provider-config.yaml \
  -n cattle-resources-system
@@ -119,10 +120,22 @@ metadata:
  name: creds
 type: Opaque
 data:
-  accessKey: <Enter your base64-encoded access key>
-  secretKey: <Enter your base64-encoded secret key>
+  accessKey: <base64-encoded access key>
+  secretKey: <base64-encoded secret key>
 ```

+:::note
+
+为避免编码问题，你可以使用以下命令创建 `credentialSecret`，更新 `accessKey` 和 `secretKey` 的值。
+
+```bash
+kubectl create secret generic s3-creds \
+  --from-literal=accessKey=<access key> \
+  --from-literal=secretKey=<secret key>
+```
+
+:::
+
 ### EC2 节点访问 S3 的 IAM 权限

 有两种方法可以设置 `rancher-backup` operator 来使用 S3 作为备份存储位置。
@@ -29,18 +29,18 @@ title: 备份存储位置配置

 如果你通过选择 StorageClass 选项来安装 `rancher-backup` Chart，将会创建一个持久卷说明（Persistent Volume Claim，PVC），而且 Kubernetes 会动态配置一个持久卷（Persistent Volume，PV），所有备份都会默认保存到该持久卷中。

-关于创建存储类的信息，请参见[本章节](../../how-to-guides/advanced-user-guides/manage-clusters/create-kubernetes-persistent-storage/manage-persistent-storage/dynamically-provision-new-storage.md)。
+关于创建存储类的信息，请参见[本章节](../../how-to-guides/new-user-guides/manage-clusters/create-kubernetes-persistent-storage/manage-persistent-storage/dynamically-provision-new-storage.md)。

 :::note 重要提示：

 强烈建议使用回收策略为 "Retain" 的 StorageClass。否则，如果 `rancher-backup` Chart 创建的 PVC 在应用升级期间或意外被删除后，PV 也会被删除，也就是说所有保存在其中的备份都会被删除。
-如果没有这样的 StorageClass，则在设置 PV 之后，一定要将它的回收策略设置为 "Retain"，然后再将备份存储在其中。
+如果没有这样的 StorageClass 可用，在配置 PV 后，请确保先将其回收策略设置为 "Retain"，然后再存储备份。

 :::

 ### 使用现有的持久卷

-选择一个用于存储备份的现有持久卷。有关在 Rancher 中创建 PersistentVolumes 的更多信息，请参见[本节](../../how-to-guides/advanced-user-guides/manage-clusters/create-kubernetes-persistent-storage/manage-persistent-storage/set-up-existing-storage.md#2-添加一个引用持久存储的-persistentvolume)。
+选择一个用于存储备份的现有持久卷。有关在 Rancher 中创建 PersistentVolumes 的更多信息，请参见[本节](../../how-to-guides/new-user-guides/manage-clusters/create-kubernetes-persistent-storage/manage-persistent-storage/set-up-existing-storage.md#2-添加一个引用持久存储的-persistentvolume)。

 :::note 重要提示：

@@ -1,6 +1,7 @@
 ---
 title: Logging 最佳实践
 ---
+
 本指南介绍了集群级别日志和应用日志的最佳实践。

 - [集群级别日志](#集群级别日志)
@@ -96,7 +96,7 @@ Prometheus 不是用于长期存储指标的，它只用于短期存储。

 除了通过监控工作负载来检测性能、可用性或可扩展性之外，你还应该监控集群和运行在集群中的工作负载，来发现潜在的安全问题。一个好的做法是经常运行 [CIS 扫描](../../../pages-for-subheaders/cis-scan-guides.md)并发出告警，来检查集群是否按照安全最佳实践进行配置。

-对于工作负载，你可以看看 Kubernetes 和 Container 安全解决方案，比如 [Falco](https://falco.org/)，[Aqua Kubernetes Security](https://www.aquasec.com/solutions/kubernetes-container-security/)，[SysDig](https://sysdig.com/) 等。
+对于工作负载，你可以查看 Kubernetes 和 Container 安全解决方案，例如 [NeuVector](https://www.suse.com/products/neuvector/)、[Falco](https://falco.org/)、[Aqua Kubernetes Security](https://www.aquasec.com/solutions/kubernetes-container-security/) 和 [SysDig](https://sysdig.com/)。

 ## 设置告警

@@ -2,7 +2,7 @@
 title: Rancher 部署策略
 ---

-本文提供 Rancher Server 的两种部署策略，用于管理下游 Kubernetes 集群。每种策略都有优缺点。请按照你的实际情况选择最适合的部署策略：
+本文提供 Rancher 实例的两种部署策略，用于管理下游 Kubernetes 集群。每种策略都有优缺点。请按照你的实际情况选择最适合的部署策略：

 * [中心辐射型策略](#中心辐射型策略)
 * [区域型策略](#区域型策略)
@@ -10,35 +10,30 @@ title: Rancher 部署策略
 ## 中心辐射型策略
 ---

-在中心辐射型部署中，一个 Rancher controlplane 就可以管理遍布全球的 Kubernetes 集群。这个 controlplane 运行在高可用 Kubernetes 集群上，并且会受延迟影响。
-
-![](/img/bpg/hub-and-spoke.png)
+在中心辐射型部署中，一个 Rancher 实例就可以管理遍布全球的 Kubernetes 集群。Rancher 实例运行在高可用 Kubernetes 集群上，并且会受延迟影响。

 ### 优点

-* 环境中可以具有跨区域的节点和网络连接。
 * 可以通过一个 controlplane 界面查看所有区域和环境。
-* Kubernetes 不需要 Rancher 进行操作，并且可以容忍与 Rancher controlplane 断开连接。
+* Kubernetes 不需要 Rancher 进行操作，并且可以容忍与 Rancher 实例断开连接。

 ### 缺点

 * 受限于网络延迟。
-* 如果 controlplane 出现故障，在恢复之前不可以在全球范围内创建新服务。但是每个 Kubernetes 集群都可以继续单独管理。
+* 如果 Rancher 出现故障，在恢复之前不可以在全球范围内创建新服务。但是每个 Kubernetes 集群都可以继续单独管理。

 ## 区域型策略
 ---
-在区域型部署模型中，controlplane 部署在靠近计算节点的位置。
-
-![](/img/bpg/regional.png)
+在区域型部署模型中，Rancher 实例部署在靠近下游 Kubernetes 集群的位置。

 ### 优点

-* 如果某个区域的 controlplane 出现故障，其他区域内的 Rancher 功能仍然可以保持正常。
-* 网络延迟大大降低，提高 Rancher 的性能。
-* 可以在每个区域内独立升级 Rancher controlplane。
+* 如果某个区域的 Rancher 实例出现故障，其他区域内的 Rancher 功能仍然可以保持正常。
+* Rancher 和下游集群之间的网络延迟大大降低，提高了 Rancher 的性能。
+* 你可以在每个区域内独立升级 Rancher。

 ### 缺点

 * 管理多个 Rancher 安装的开销较大。
-* 需要在多个界面中查看全球所有的 Kubernetes 集群。
+* 需要在多个界面中查看不同区域的 Kubernetes 集群。
 * 在 Rancher 中部署多集群应用时，需要在每个 Rancher Server 中重复部署步骤。
@@ -32,7 +32,7 @@ $ ./rancher login https://<SERVER_URL> --token <BEARER_TOKEN>

 ### 项目选择

-在执行命令之前，你必须先选择一个 Rancher 项目来执行这些命令。要选择[项目](../../how-to-guides/advanced-user-guides/manage-clusters/projects-and-namespaces.md)，请运行 `./rancher context switch` 命令。输入此命令后，会显示可用项目的列表。输入一个数字以选择项目。
+在执行命令之前，你必须先选择一个 Rancher 项目来执行这些命令。要选择[项目](../../how-to-guides/new-user-guides/manage-clusters/projects-and-namespaces.md)，请运行 `./rancher context switch` 命令。输入此命令后，会显示可用项目的列表。输入一个数字以选择项目。

 **示例：`./rancher context switch` 输出**
 ```
@@ -63,13 +63,13 @@ INFO[0005] Saving config to /Users/markbishop/.ranchcli2.json
 | `apps, [app]` | 对商店应用（即单个 [Helm Chart](https://docs.helm.sh/developing_charts/)）或 Rancher Chart 执行操作。 |
 | `catalog` | 对[应用商店](../../pages-for-subheaders/helm-charts-in-rancher.md)执行操作。 |
 | `clusters, [cluster]` | 对[集群](../../pages-for-subheaders/kubernetes-clusters-in-rancher-setup.md)执行操作。 |
-| `context` | 在 Rancher [项目](../../how-to-guides/advanced-user-guides/manage-clusters/projects-and-namespaces.md)之间切换。有关示例，请参阅[项目选择](#项目选择)。 |
-| `inspect [OPTIONS] [RESOURCEID RESOURCENAME]` | 显示 [Kubernetes 资源](https://kubernetes.io/docs/reference/kubectl/cheatsheet/#resource-types)或 Rancher 资源（即[项目](../../how-to-guides/advanced-user-guides/manage-clusters/projects-and-namespaces.md)和[工作负载](../../pages-for-subheaders/workloads-and-pods.md)）的详细信息。按名称或 ID 指定资源。 |
+| `context` | 在 Rancher [项目](../../how-to-guides/new-user-guides/manage-clusters/projects-and-namespaces.md)之间切换。有关示例，请参阅[项目选择](#项目选择)。 |
+| `inspect [OPTIONS] [RESOURCEID RESOURCENAME]` | 显示 [Kubernetes 资源](https://kubernetes.io/docs/reference/kubectl/cheatsheet/#resource-types)或 Rancher 资源（即[项目](../../how-to-guides/new-user-guides/manage-clusters/projects-and-namespaces.md)和[工作负载](../../pages-for-subheaders/workloads-and-pods.md)）的详细信息。按名称或 ID 指定资源。 |
 | `kubectl` | 运行 [kubectl 命令](https://kubernetes.io/docs/reference/kubectl/overview/#operations)。 |
 | `login, [l]` | 登录 Rancher Server。有关示例，请参阅 [CLI 身份验证](#cli-身份验证)。 |
 | `namespaces, [namespace]` | 执行命名空间操作。 |
 | `nodes, [node]` | 执行节点空间操作。 |
-| `projects, [project]` | 执行[项目](../../how-to-guides/advanced-user-guides/manage-clusters/projects-and-namespaces.md)操作。 |
+| `projects, [project]` | 执行[项目](../../how-to-guides/new-user-guides/manage-clusters/projects-and-namespaces.md)操作。 |
 | `ps` | 显示项目中的[工作负载](../../pages-for-subheaders/workloads-and-pods.md)。 |
 | `settings, [setting]` | 显示 Rancher Server 的当前设置。 |
 | `ssh` | 使用 SSH 协议连接到你的某个集群节点。 |
@@ -19,9 +19,9 @@ title: EC2 节点模板配置

 参阅下面的三个示例 JSON 策略：

- [IAM 策略示例](../../../../how-to-guides/new-user-guides/kubernetes-clusters-in-rancher-setup/launch-kubernetes-with-rancher/use-new-nodes-in-an-infra-provider/create-an-amazon-ec2-cluster.md#iam-策略示例)
- [带有 PassRole 的 IAM 策略示例](../../../../how-to-guides/new-user-guides/kubernetes-clusters-in-rancher-setup/launch-kubernetes-with-rancher/use-new-nodes-in-an-infra-provider/create-an-amazon-ec2-cluster.md#带有-passrole-的-iam-策略示例)（如果要使用 [Kubernetes 云提供商](../../../../pages-for-subheaders/set-up-cloud-providers.md)，或将 IAM 配置文件传递给实例，则需要）
- [允许用户加密 EBS 卷的 IAM 策略示例](../../../../how-to-guides/new-user-guides/kubernetes-clusters-in-rancher-setup/launch-kubernetes-with-rancher/use-new-nodes-in-an-infra-provider/create-an-amazon-ec2-cluster.md#允许加密-ebs-卷的-iam-策略示例)
+- [IAM 策略示例](../../../../how-to-guides/new-user-guides/launch-kubernetes-with-rancher/use-new-nodes-in-an-infra-provider/create-an-amazon-ec2-cluster.md#iam-策略示例)
+- [带有 PassRole 的 IAM 策略示例](../../../../how-to-guides/new-user-guides/launch-kubernetes-with-rancher/use-new-nodes-in-an-infra-provider/create-an-amazon-ec2-cluster.md#带有-passrole-的-iam-策略示例)（如果要使用 [Kubernetes 云提供商](../../../../pages-for-subheaders/set-up-cloud-providers.md)，或将 IAM 配置文件传递给实例，则需要）
+- [允许用户加密 EBS 卷的 IAM 策略示例](../../../../how-to-guides/new-user-guides/launch-kubernetes-with-rancher/use-new-nodes-in-an-infra-provider/create-an-amazon-ec2-cluster.md#允许加密-ebs-卷的-iam-策略示例)

 ### 验证和配置节点

@@ -10,6 +10,12 @@ title: Azure 节点模板配置
 - **Network** 配置集群中使用的网络。
 - **Instance** 自定义你的 VM 配置。

+:::note
+
+如果在与 VM 不同的资源组中使用 VNet，则 VNet 名称需要以资源组名称作为前缀。例如，`<resource group>:<vnet>`。
+
+:::
+
 [Docker daemon](https://docs.docker.com/engine/docker-overview/#the-docker-daemon) 配置选项包括：

 - **标签**：有关标签的信息，请参阅 [Docker 对象标签文档](https://docs.docker.com/config/labels-custom-metadata/)。
@@ -100,7 +100,7 @@ Rancher 与以下开箱即用的网络提供商兼容：

 集群级别的私有镜像仓库配置仅能用于配置集群。

-在 Rancher 中设置私有镜像仓库的主要方法有两种：通过[全局默认镜像仓库](../../../how-to-guides/advanced-user-guides/authentication-permissions-and-global-configuration/global-default-private-registry.md)中的**设置**选项卡设置全局默认镜像仓库，以及在集群级别设置的高级选项中设置私有镜像仓库。全局默认镜像仓库可以用于离线设置，不需要凭证的镜像仓库。而集群级私有镜像仓库用于所有需要凭证的私有镜像仓库。
+在 Rancher 中设置私有镜像仓库的主要方法有两种：通过[全局默认镜像仓库](../../../how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/global-default-private-registry.md)中的**设置**选项卡设置全局默认镜像仓库，以及在集群级别设置的高级选项中设置私有镜像仓库。全局默认镜像仓库可以用于离线设置，不需要凭证的镜像仓库。而集群级私有镜像仓库用于所有需要凭证的私有镜像仓库。

 如果你的私有镜像仓库需要凭证，为了将凭证传递给 Rancher，你需要编辑每个需要从仓库中拉取镜像的集群的集群选项。

@@ -145,7 +145,7 @@ Rancher v2.6 引入了[为 RKE 集群配置 ECR 镜像仓库](https://rancher.co

 ### Pod 安全策略支持

-为集群启用 [pod 安全策略](../../../how-to-guides/advanced-user-guides/authentication-permissions-and-global-configuration/create-pod-security-policies.md)。启用此选项后，使用**默认 Pod 安全策略**下拉菜单选择一个策略。
+为集群启用 [pod 安全策略](../../../how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/create-pod-security-policies.md)。启用此选项后，使用**默认 Pod 安全策略**下拉菜单选择一个策略。

 你必须有已配置的 Pod 安全策略才能使用此选项。

@@ -175,7 +175,7 @@ Rancher v2.6 引入了[为 RKE 集群配置 ECR 镜像仓库](https://rancher.co

 ### Agent 环境变量

-为 [rancher agent](../../../how-to-guides/new-user-guides/kubernetes-clusters-in-rancher-setup/launch-kubernetes-with-rancher/about-rancher-agents.md) 设置环境变量的选项。你可以使用键值对设置环境变量。如果 Rancher Agent 需要使用代理与 Rancher Server 通信，则可以使用 Agent 环境变量设置 `HTTP_PROXY`，`HTTPS_PROXY` 和 `NO_PROXY` 环境变量。
+为 [rancher agent](../../../how-to-guides/new-user-guides/launch-kubernetes-with-rancher/about-rancher-agents.md) 设置环境变量的选项。你可以使用键值对设置环境变量。如果 Rancher Agent 需要使用代理与 Rancher Server 通信，则可以使用 Agent 环境变量设置 `HTTP_PROXY`，`HTTPS_PROXY` 和 `NO_PROXY` 环境变量。

 ### 更新 ingress-nginx

@@ -126,7 +126,7 @@ Rancher 与以下开箱即用的网络提供商兼容：

 #### 默认 Pod 安全策略

-为集群选择默认的 [pod 安全策略](../../../how-to-guides/advanced-user-guides/authentication-permissions-and-global-configuration/create-pod-security-policies.md)。请参阅 [RKE2 文档](https://docs.rke2.io/security/policies/)来了解每个可用策略的规范。
+为集群选择默认的 [pod 安全策略](../../../how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/create-pod-security-policies.md)。请参阅 [RKE2 文档](https://docs.rke2.io/security/policies/)来了解每个可用策略的规范。

 #### Worker CIS 配置文件

@@ -1,80 +0,0 @@
---
-title: OpenLDAP 配置参考
---
-
-本文提供在 Rancher 中设置 OpenLDAP 身份验证的参考。
-
-有关配置 OpenLDAP 的更多详细信息，请参见[官方文档](https://www.openldap.org/doc/)。
-
-> 在开始之前，请熟悉[外部身份验证配置和主体用户](../../pages-for-subheaders/about-authentication.md#外部身份验证配置和用户主体)的概念。
-
-
-## 背景：OpenLDAP 认证流程
-
-1. 当用户尝试使用其 LDAP 凭证登录时，Rancher 会使用具有搜索目录和读取用户/组属性权限的 ServiceAccount，创建与 LDAP 服务器的初始绑定。
-2. 然后，Rancher 使用搜索筛选器根据用户名和配置的属性映射为用户搜索目录。
-3. 找到用户后，将使用用户的 DN 和提供的密码，通过另一个 LDAP 绑定请求对用户进行身份验证。
-4. 身份验证成功后，Rancher 将基于用户对象的成员属性和配置的用户映射属性执行组搜索，来解析组成员。
-
-# OpenLDAP 服务器配置
-
-你将需要输入地址，端口和协议来连接到 OpenLDAP 服务器。不安全流量的标准端口为 `389`，TLS 流量的标准端口为 `636`。
-
-> **使用 TLS？**
->
-> 如果 OpenLDAP 服务器使用的证书是自签名的或不是来自认可的证书颁发机构，请确保手头有 PEM 格式的 CA 证书（包含所有中间证书）。你必须在配置期间粘贴此证书，以便 Rancher 能够验证证书链。
-
-如果你不确定要在用户/组`搜索库`字段中输入什么值，请咨询你的 LDAP 管理员，或参见 Active Directory 身份验证文档中的[使用 ldapsearch 确定搜索库和 Schema](../../how-to-guides/advanced-user-guides/authentication-permissions-and-global-configuration/about-authentication/authentication-config/configure-active-directory.md#附录：使用-ldapsearch-确定搜索库和-schema) 章节。
-
-<figcaption>OpenLDAP 服务器参数</figcaption>
-
-| 参数 | 描述 |
-|:--|:--|
-| 主机名 | 指定 OpenLDAP 服务器的主机名或 IP 地址。 |
-| 端口 | 指定 OpenLDAP 服务器监听连接的端口。未加密的 LDAP 通常使用 389 的标准端口，而 LDAPS 使用 636 端口。 |
-| TLS | 选中此框可启用 SSL/TLS 上的 LDAP（通常称为 LDAPS）。如果服务器使用自签名/企业签名的证书，则还需要粘贴 CA 证书。 |
-| 服务器连接超时 | Rancher 在认为无法访问服务器之前等待的时间（秒）。 |
-| ServiceAccount 标识名称 | 输入用于绑定，搜索和检索 LDAP 条目的用户的标识名称（DN）。 |
-| ServiceAccount 密码 | ServiceAccount 的密码。 |
-| 用户搜索库 | 输入目录树中开始搜索用户对象的节点的标识名称（DN）。所有用户都必须是此基础标识名称的后代。例如，"ou=people,dc=acme,dc=com"。 |
-| 组搜索库 | 如果组位于`用户搜索库`下配置的节点之外的其他节点下，则需要在此处提供标识名称。否则，将此字段留空。例如："ou=groups,dc=acme,dc=com"。 |
-
-# 用户/组 Schema 配置
-
-如果你的 OpenLDAP 目录不同于标准的 OpenLDAP Schema，则必须完成**自定义 Schema** 部分实现匹配。
-
-请注意，Rancher 使用本节中配置的属性映射来构造搜索筛选器和解析组成员。因此，我们建议你验证此处的配置是否与你在 OpenLDAP 中使用的 Schema 匹配。
-
-如果你不确定 OpenLDAP 服务器中使用的用户/组 Schema，请咨询你的 LDAP 管理员，或参见 Active Directory 身份验证文档中的[使用 ldapsearch 确定搜索库和 Schema](../../how-to-guides/advanced-user-guides/authentication-permissions-and-global-configuration/about-authentication/authentication-config/configure-active-directory.md#附录：使用-ldapsearch-确定搜索库和-schema) 章节。
-
-### 用户 Schema 配置
-
-下表详细说明了用户 Schema 配置的参数。
-
-<figcaption>用户 Schema 配置参数</figcaption>
-
-| 参数 | 描述 |
-|:--|:--|
-| Object Class | 域中用于用户对象的对象类别名称。如果定义了此参数，则仅指定对象类别的名称 - *请勿*将其放在 LDAP 包装器中，例如 `&(objectClass=xxxx)`。 |
-| Username Attribute | 用户属性的值适合作为显示名称。 |
-| Login Attribute | 登录属性的值与用户登录 Rancher 时输入的凭证的用户名部分匹配。通常是 `uid`。 |
-| User Member Attribute | 包含用户所属组的标识名称的用户属性。通常是 `memberOf` 或 `isMemberOf`。 |
-| Search Attribute | 当用户输入文本以在用户界面中添加用户或组时，Rancher 会查询 LDAP 服务器，并尝试根据此设置中提供的属性匹配用户。可以通过使用管道（“\|”）符号分隔属性来指定多个属性。 |
-| User Enabled Attribute | 如果 OpenLDAP 服务器的 Schema 支持使用用户属性的值来评估账号是禁用还是关闭，请输入该属性的名称。默认的 OpenLDAP Schema 不支持此功能，因此此字段通常留空。 |
-| Disabled Status Bitmask | 禁用/锁定的用户账号的值。如果 `User Enabled Attribute` 是空的，则忽略此参数。 |
-
-### 组 Schema 配置
-
-下表详细说明了组 Schema 配置的参数。
-
-<figcaption>组 Schema 配置参数</figcaption>
-
-| 参数 | 描述 |
-|:--|:--|
-| Object Class | 域中用于组条目的对象类别名称。如果定义了此参数，则仅指定对象类别的名称 - *请勿*将其放在 LDAP 包装器中，例如 `&(objectClass=xxxx)`。 |
-| Name Attribute | 名称属性的值适合作为显示名称。 |
-| Group Member User Attribute | **用户属性**的名称。它的格式与 `Group Member Mapping Attribute` 中的组成员匹配。 |
-| Group Member Mapping Attribute | 包含组成员的组属性的名称。 |
-| Search Attribute | 在 UI 中将组添加到集群或项目时，用于构造搜索筛选器的属性。请参见用户 Schema 的 `Search Attribute`。 |
-| Group DN Attribute | 组属性的名称，其格式与用户的组成员属性中的值匹配。参见 `User Member Attribute`。 |
-| Nested Group Membership | 此设置定义 Rancher 是否应解析嵌套组成员身份。仅当你的组织使用这些嵌套成员身份时才使用（即你有包含其他组作为成员的组）。如果你使用 Shibboleth，此选项会被禁用。 |
@@ -1,43 +0,0 @@
---
-title: 功能开关
---
-
-为了让你试用默认关闭的实验功能，我们引入了功能开关（feature flag）。
-
-如需了解功能的值以及如何启用功能，请参阅[此处](../../pages-for-subheaders/enable-experimental-features.md)。
-
-:::note
-
-某些功能需要重启 Rancher Server 容器才能生效。我们在文档的表格和 UI 中对这些功能进行了标记。
-
-:::
-
-以下是 Rancher 中可用的功能开关列表：
-
- `harvester`：从 2.6.1 开始可用。Harvester 用于管理 Virtualization Management 页面的访问。用户可以在该页面直接导航到 Harvester 集群并访问 Harvester UI。详情请参见[本页](../../explanations/integrations-in-rancher/harvester.md#功能开关)。
- `rke2`：用于启用配置 RKE2 集群的功能。这个功能开关默认开启，即允许用户尝试配置此类集群。
- `fleet`：由于 Fleet 功能已应用到新的配置框架中，因此我们需要启用先前的 `fleet` 功能开关。如果你在早期版本中禁用了此功能开关，升级到 Rancher 2.6 后，该功能开关会自动启用。详情请参见[此页](../../how-to-guides/new-user-guides/deploy-apps-across-clusters/fleet.md)。
- `continuous-delivery`：在 Rancher v2.5.x 中，Fleet 带有 GitOps 功能，该功能不能与 Fleet 分开禁用。在 Rancher 2.6 中，我们引入了 `continuous-delivery` 功能开关，让你可以单独禁用 Fleet 的 GitOps 功能。详情请参见[本页](../../getting-started/installation-and-upgrade/advanced-options/enable-experimental-features/continuous-delivery.md)。
- `legacy`：Rancher 会逐渐淘汰之前版本中的某些功能，以实现功能迭代。此处包括已弃用，以及之后会转移到其他地方的功能。默认情况下，新安装会禁用此功能开关。如果你从先前的版本升级，此功能开关会启用。
- `token-hashing`：用于启动新的 token-hashing 功能。启用后，会使用 SHA256 算法对现有 Token 和所有新 Token 进行哈希处理。一旦对 Token 进行哈希处理，就无法撤消操作。该功能开关启用后无法被禁用。详情请参见[哈西处理 Token](../../reference-guides/about-the-api/api-tokens.md)。
- `unsupported-storage-drivers`：该功能[允许使用不支持的存储驱动](../../getting-started/installation-and-upgrade/advanced-options/enable-experimental-features/unsupported-storage-drivers.md)。换言之，此功能允许你使用默认情况下未启用的存储提供商和卷插件。
- `istio-virtual-service-ui`：此功能让你[启动用于管理 Istio 流量的 UI，其中包括创建、读取、更新和删除 Istio 虚拟服务（Virtual Service）和目标规则（Destination Rule）](../../getting-started/installation-and-upgrade/advanced-options/enable-experimental-features/istio-traffic-management-features.md)。
- `multi-cluster-management`：用于配置和管理多个 Kubernetes 集群。此功能开关只能在安装时设置，之后不能更改。
-
-下表介绍了 Rancher 中功能开关的可用版本和默认值：
-
-| 功能开关名称 | 默认值 | 状态 | 可用于 | 是否需要重启 Rancher |
-| ----------------------------- | ------------- | ------------ | --------------- |---|
-| `istio-virtual-service-ui` | `false` | 实验功能 | v2.3.0 | |
-| `istio-virtual-service-ui` | `true` | GA* | v2.3.2 | |
-| `unsupported-storage-drivers` | `false` | 实验功能 | v2.3.0 | |
-| `fleet` | `true` | GA* | v2.5.0 |   |
-| `fleet` | `true` | 不能禁用 | v2.6.0 | N/A |
-| `continuous-delivery` | `true` | GA* | v2.6.0 | |
-| `token-hashing` | 新安装：`false`；升级：`true` | GA* | v2.6.0 | |
-| `legacy` | 新安装：`false`；升级：`true` | GA* | v2.6.0 | |
-| `multi-cluster-management` | `false` | GA* | v2.5.0 | |
-| `harvester` | `true` | 实验功能 | v2.6.1 | |
-| `rke2` | `true` | 实验功能 | v2.6.0 | |
-
-\* 一般情况下可用。此功能包含在 Rancher 中，不是实验功能的。
@@ -1,271 +0,0 @@
---
-title: Rancher Helm Chart 选项
---
-
-本文提供了 Rancher Helm Chart 的配置参考。
-
-如需选择 Helm Chart 版本，请参见[本页](../../getting-started/installation-and-upgrade/resources/choose-a-rancher-version.md)。
-
-了解开启实验性功能的详情，请参见[本页](../../pages-for-subheaders/enable-experimental-features.md)。
-
-## 常用选项
-
-| 选项 | 默认值 | 描述 |
-| ------------------------- | ------------- | ---------------------------------------------------------------------------------- |
-| `bootstrapPassword` | " " | `string` - 为第一个管理员用户设置[引导密码](#引导密码)。登录后，管理员需要重置密码。如不设置，会使用随机生成的引导密码。 |
-| `hostname` | " " | `string` - 你的 Rancher Server 的完全限定的域名（FQDN) |
-| `ingress.tls.source` | "rancher" | `string` - 从哪里获取 Ingress 的证书- "rancher, letsEncrypt, secret" |
-| `letsEncrypt.email` | " " | `string` - 你的邮箱地址 |
-| `letsEncrypt.environment` | "production" | `string` - 可选项："staging, production" |
-| `privateCA` | false | `bool` - 如果你的证书是由私有 CA 签发的，把这个值设置为 true |
-
-<br/>
-
-## 高级选项
-
-| 选项 | 默认值 | 描述 |
-| ------------------------------ | ----------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------- |
-| `additionalTrustedCAs` | false | `bool` - 请参见[额外的授信 CA](#额外的授信-ca) |
-| `addLocal` | "true" | `string` - 让 Rancher 检测并导入 “local” Rancher Server 集群。_注意：此选项在 2.5.0 中已不可用。你可考虑使用 `restrictedAdmin` 选项，来避免用户修改本地集群。_ |
-| `antiAffinity` | "preferred" | `string` - Rancher Pod 的反亲和性规则 - "preferred, required" |
-| `auditLog.destination` | "sidecar" | `string` - 发送审计日志到 Sidecar 容器的控制台或 hostPath 卷 - "sidecar, hostPath" |
-| `auditLog.hostPath` | "/var/log/rancher/audit" | `string` - 主机上的日志文件目标地址（仅当`auditLog.destination` 的值是 `hostPath` 时生效） |
-| `auditLog.level` | 0 | `int` - 设置 [API 审计日志](../../getting-started/installation-and-upgrade/advanced-options/advanced-use-cases/enable-api-audit-log.md)等级。0 代表关闭。[0-3] |
-| `auditLog.maxAge` | 1 | `int` - 旧审计日志文件最多可保留的天数（仅当`auditLog.destination` 的值是 `hostPath` 时生效） |
-| `auditLog.maxBackup` | 1 | `int` - 审计文件最大可保留的个数（仅当 `auditLog.destination` 的值是 `hostPath` 时生效） |
-| `auditLog.maxSize` | 100 | `int` - 在审计日志被轮换前的最大容量，单位是 MB（仅当 `auditLog.destination` 的值是 `hostPath` 时生效） |
-| `busyboxImage` | "busybox" | `string` - 用来收集审计日志的 busybox 镜像位置 |
-| `certmanager.version` | "" | `string` - 设置 cert-manager compatibility |
-| `debug` | false | `bool` - 在 Rancher Server 设置 debug 参数 |
-| `extraEnv` | [] | `list` - 为 Rancher 额外设置环境变量 |
-| `imagePullSecrets` | [] | `list` - 私有镜像仓库凭证的密文名称列表 |
-| `ingress.configurationSnippet` | "" | `string` - 添加额外的 Nginx 配置。可用于代理配置。 |
-| `ingress.extraAnnotations` | {} | `map` - 用于自定义 Ingress 的额外注释 |
-| `ingress.enabled` | true | 如果值为 false，Helm 不会安装 Rancher Ingress。你可把值设为 false 以部署你自己的 Ingress。 |
-| `letsEncrypt.ingress.class` | "" | `string` - cert-manager acmesolver ingress 的可选 ingress 类，用于响应 Let's Encrypt ACME 质询。选项：traefik，nginx。 |                      |
-| `noProxy` | "127.0.0.0/8,10.0.0.0/8,172.16.0.0/12,192.168.0.0/16,.svc,.cluster.local,cattle-system.svc" | `string` - 不使用代理的主机名或 IP 地址的逗号分隔列表 |                                     |
-| `proxy` | "" | `string` - 给 Rancher 配置的 HTTP[S] 代理 |
-| `rancherImage` | "rancher/rancher" | `string` - Rancher 镜像源 |
-| `rancherImagePullPolicy` | "IfNotPresent" | `string` - 覆盖 Rancher Server 镜像的 imagePullPolicy - "Always", "Never", "IfNotPresent" |
-| `rancherImageTag` | 和 Chart 版本一致 | `string` - rancher/rancher 镜像标签 |
-| `replicas` | 3 | `int` - Rancher Server 副本数。如果设为 -1，会根据集群中的可用节点数自动选择 1，2或3。 |
-| `resources` | {} | `map` - Rancher Pod 资源请求和限制 |
-| `restrictedAdmin` | `false` | `bool` - 如果值为 true，初始的 Rancher 用户访问本地 Kubernetes 集群会受到限制，以避免权限升级。详情请参见 [restricted-admin 角色](../../how-to-guides/advanced-user-guides/authentication-permissions-and-global-configuration/manage-role-based-access-control-rbac/global-permissions.md#受限管理员)。 |
-| `systemDefaultRegistry` | "" | `string` - 用于所有系统容器镜像的私有仓库，例如 registry.example.com |
-| `tls` | "ingress" | `string` - 详情请参见[外部 TLS 终止](#外部-tls-终止)。- "ingress, external" |
-| `useBundledSystemChart` | `false` | `bool` - 选择 Rancher Server 打包的 system-charts。此参数用于离线环境安装。 |
-
-
-
-### 引导密码
-
-Rancher 首次启动时，会为第一个管理员用户随机生成一个密码。当管理员首次登录 Rancher 时，用于获取引导密码（Bootstrap）的命令会在 UI 上显示。管理员需要运行命令并使用引导密码登录。然后 Rancher 会让管理员重置密码。
-
-如果你想指定引导密码而不使用随机生成的密码，请参考以下命令设置密码。
-
-```plain
--set bootstrapPassword="rancher"
-```
-
-无论你是使用提供的密码还是生成的密码，密码均存储在 Kubernetes 密文中。安装 Rancher 后，如何使用 kubectl 获取密码的说明将会在 UI 中显示：
-
-```
-kubectl get secret --namespace cattle-system bootstrap-secret -o go-template='{{ .data.bootstrapPassword|base64decode}}{{ "\n" }}'
-```
-
-### API 审计日志
-
-启用 [API 审计日志](../../getting-started/installation-and-upgrade/advanced-options/advanced-use-cases/enable-api-audit-log.md)
-
-你可以像收集其他容器日志一样收集此日志。在 Rancher Server 集群上为 `System` 项目启用 [Logging](../../pages-for-subheaders/logging.md)。
-
-```plain
--set auditLog.level=1
-```
-
-默认情况下，启用审计日志会在 Rancher pod 中创建一个 Sidecar 容器。这个容器（`rancher-audit-log`）会把日志流传输到 `stdout`。你可以像收集其他容器日志一样收集此日志。如果你使用 Sidecar 作为审计日志的目标时， `hostPath`，`maxAge`，`maxBackups` 和 `maxSize` 选项不会生效。建议使用你的操作系统或 Docker Daemon 的日志轮换功能来控制磁盘空间的使用。请为 Rancher Server 集群或 System 项目启用 [Logging](../../pages-for-subheaders/logging.md)。
-
-将 `auditLog.destination` 的值设为 `hostPath`，可以将日志转发到与主机系统共享的卷，而不是传输到 Sidecar 容器。如果目标设置为 `hostPath`，你可能需要调整其他 auditLog 参数以进行日志轮换。
-
-### 额外设置环境变量
-
-你可以使用 `extraEnv` 为 Rancher Server 额外设置环境变量。该列表使用与容器清单定义相同的 `name` 和 `value` 键。记住需要给值加上引号。
-
-```plain
--set 'extraEnv[0].name=CATTLE_TLS_MIN_VERSION'
--set 'extraEnv[0].value=1.0'
-```
-
-### TLS 设置
-
-当你在 Kubernetes 集群内安装 Rancher 时，TLS 会在集群的 Ingress Controller 上卸载。支持的 TLS 设置取决于使用的 Ingress Controller。
-
-参见 [TLS 设置](tls-settings.md)了解更多信息和选项。
-
-### 导入 `local` 集群
-
-默认情况下，Rancher Server 会检测并导入其所在的 `local` 集群。有权访问 `local` 集群的用户对 Rancher Server 管理的所有集群具有“root”访问权限。
-
-:::caution
-
-如果你关闭 addLocal，大多数 Rancher 2.5 功能都不能使用，包括 EKS Provisioner。
-
-:::
-
-如果这在你的环境中是一个问题，你可以在初始安装时将此选项设置为“false”。
-
-此选项仅在首次安装 Rancher 时有效。详情请参见 [Issue 16522](https://github.com/rancher/rancher/issues/16522)。
-
-```plain
--set addLocal="false"
-```
-
-### 自定义 Ingress
-
-要自定义或使用 Rancher Server 的其他 Ingress，你可以设置自己的 Ingress annotations。
-
-设置自定义证书颁发者的示例：
-
-```plain
--set ingress.extraAnnotations.'cert-manager\.io/cluster-issuer'=issuer-name
-```
-
-以下是使用 `ingress.configurationSnippet`设置静态代理头的实例。该值像模板一样进行解析，因此可以使用变量。
-
-```plain
--set ingress.configurationSnippet='more_set_input_headers X-Forwarded-Host {{ .Values.hostname }};'
-```
-
-### HTTP 代理
-
-Rancher 的一些功能（Helm Chart）需要使用互联网才能使用。使用 `proxy` 来设置你的代理服务器。
-
-在 `noProxy` 列表中添加例外的 IP。确保你已添加了 Pod 集群 IP 范围（默认：`10.42.0.0/16`），服务集群 IP 范围（默认：`10.43.0.0/16`），内部集群域名（默认：`.svc,.cluster.local`）和所有 worker 集群 `controlplane` 节点。Rancher 支持在此列表中使用 CIDR 表示法范围。
-
-```plain
--set proxy="http://<username>:<password>@<proxy_url>:<proxy_port>/"
--set noProxy="127.0.0.0/8\,10.0.0.0/8\,172.16.0.0/12\,192.168.0.0/16\,.svc\,.cluster.local"
-```
-
-### 额外的授信 CA
-
-如果你有私有镜像仓库（registries）、应用商店（catalogs）或拦截证书的代理，则可能需要向 Rancher 添加额外的授信 CA。
-
-```plain
--set additionalTrustedCAs=true
-```
-
-创建完 Rancher deployment 后，将 pem 格式的 CA 证书复制到一个名为 `ca-additional.pem` 的文件中，并使用 `kubectl` 在 `cattle-system` 命名空间中创建 `tls-ca-additional` 密文。
-
-```plain
-kubectl -n cattle-system create secret generic tls-ca-additional --from-file=ca-additional.pem=./ca-additional.pem
-```
-
-### 私有仓库和离线安装
-
-有关使用私有仓库安装 Rancher 的详情，请参见[离线安装](../../pages-for-subheaders/air-gapped-helm-cli-install.md)。
-
-# 外部 TLS 终止
-
-我们建议将负载均衡器配置为 4 层均衡，将普通 80/tcp 和 443/tcp 转发到 Rancher Management 集群节点。集群上的 Ingress Controller 会将端口 80 上的 HTTP 流量重定向到端口 443 上的 HTTPS。
-
-你可以在 Rancher 集群（Ingress）外部的 L7 负载均衡器上终止 SSL/TLS。使用 `--set tls=external` 选项，将负载均衡器指向所有 Rancher 集群节点上的端口 HTTP 80。这将在 HTTP 端口 80 上暴露 Rancher 接口。请注意，允许直接连接到 Rancher 集群的客户端不会被加密。如果你选择这样做，我们建议你将网络级别的直接访问限制为仅你的负载均衡器。
-
-:::note
-
-如果你使用的是私有 CA 签名的证书，请添加 `--set privateCA=true` 并参见[添加 TLS 密文 - 使用私有 CA 签名证书](../../getting-started/installation-and-upgrade/resources/add-tls-secrets.md)，为 Rancher 添加 CA 证书。
-
-:::
-
-你的负载均衡器必须支持长期存在的 Websocket 连接，并且需要插入代理头，以便 Rancher 可以正确传送链接。
-
-### 使用 NGINX v0.25 为外部 TLS 配置 Ingress
-
-在 NGINX 0.25 中，NGINX 关于转发头和外部 TLS 终止的行为[已更改](https://github.com/kubernetes/ingress-nginx/blob/master/Changelog.md#0220)。因此，如果你同时使用 NGINX 0.25 和外部 TLS 终止配置，你必须编辑 `cluster.yml` 来为 Ingress 启用 `use-forwarded-headers` 选项。
-
-```yaml
-ingress:
-  provider: nginx
-  options:
-    use-forwarded-headers: 'true'
-```
-
-### 必须的 Header
-
- `Host`
- `X-Forwarded-Proto`
- `X-Forwarded-Port`
- `X-Forwarded-For`
-
-### 建议的超时时间
-
- 读超时：`1800 seconds`
- 写超时：`1800 seconds`
- 连接超时：`30 seconds`
-
-### 健康检查
-
-Rancher 将对 `/healthz` 端点的健康检查响应`200`。
-
-### 示例 NGINX 配置
-
-此 NGINX 配置已在 NGINX 1.14 上进行了测试。
-
-:::caution
-
-此 NGINX 配置只是一个示例，可能不适合你的环境。如需查阅完整文档，请参见 [NGINX 负载均衡 - HTTP 负载均衡](https://docs.nginx.com/nginx/admin-guide/load-balancer/http-load-balancer/)。
-
-:::
-
- 将 `IP_NODE1`，`IP_NODE2` 和 `IP_NODE3` 替换为你集群中节点的 IP 地址。
- 将两处的 `FQDN` 均替换为 Rancher 的 DNS 名称。
- 把 `/certs/fullchain.pem` 和 `/certs/privkey.pem` 分别替换为服务器证书和服务器证书密钥的位置。
-
-```
-worker_processes 4;
-worker_rlimit_nofile 40000;
-
-events {
-    worker_connections 8192;
-}
-
-http {
-    upstream rancher {
-        server IP_NODE_1:80;
-        server IP_NODE_2:80;
-        server IP_NODE_3:80;
-    }
-
-    map $http_upgrade $connection_upgrade {
-        default Upgrade;
-        ''      close;
-    }
-
-    server {
-        listen 443 ssl http2;
-        server_name FQDN;
-        ssl_certificate /certs/fullchain.pem;
-        ssl_certificate_key /certs/privkey.pem;
-
-        location / {
-            proxy_set_header Host $host;
-            proxy_set_header X-Forwarded-Proto $scheme;
-            proxy_set_header X-Forwarded-Port $server_port;
-            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
-            proxy_pass http://rancher;
-            proxy_http_version 1.1;
-            proxy_set_header Upgrade $http_upgrade;
-            proxy_set_header Connection $connection_upgrade;
-            # 此项允许执行的 shell 窗口保持开启，最长可达15分钟。不使用此参数的话，默认1分钟后自动关闭。
-            proxy_read_timeout 900s;
-            proxy_buffering off;
-        }
-    }
-
-    server {
-        listen 80;
-        server_name FQDN;
-        return 301 https://$server_name$request_uri;
-    }
-}
-```
@@ -1,21 +0,0 @@
---
-title: TLS 设置
---
-
-更改默认 TLS 设置的方法取决于它的安装方式。
-
-# 在高可用 Kubernetes 集群中运行 Rancher
-
-当你在 Kubernetes 集群内安装 Rancher 时，TLS 会在集群的 Ingress Controller 上卸载。可用的 TLS 设置取决于使用的 Ingress Controller：
-
-* nginx-ingress-controller（RKE1 和 RKE2 默认）：[默认的 TLS 版本和密码](https://kubernetes.github.io/ingress-nginx/user-guide/tls/#default-tls-version-and-ciphers)。
-* traefik（K3s 默认）：[TLS 选项](https://doc.traefik.io/traefik/https/tls/#tls-options)。
-
-# 在单个 Docker 容器中运行 Rancher
-
-默认 TLS 配置仅支持 TLS 1.2 和安全的 TLS 密码套件。你可以通过设置以下环境变量来更改此配置：
-
-| 参数 | 描述 | 默认 | 可用选项 |
-|-----|-----|-----|-----|
-| `CATTLE_TLS_MIN_VERSION` | 最小 TLS 版本 | `1.2` | `1.0`, `1.1`, `1.2`, `1.3` |
-| `CATTLE_TLS_CIPHERS` | 支持的 TLS 密码套件 | `TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256`,<br/>`TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384`,<br/>`TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305`,<br/>`TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256`,<br/>`TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384`,<br/>`TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305` | 详情请参见 [Golang TLS 常量](https://golang.org/pkg/crypto/tls/#pkg-constants)。 |
@@ -41,7 +41,7 @@ title: Helm Chart 选项

 [scrape_config](https://prometheus.io/docs/prometheus/latest/configuration/configuration/#scrape_config) 指定一组目标以及抓取这些目标的参数。在一般情况下，一个抓取配置指定一个 job。

-Istio 就是一个可能用到这个配置的例子。有关详细信息，请参阅[本节](../../explanations/integrations-in-rancher/istio/configuration-options/selectors-and-scrape-configurations.md)。
+Istio 就是一个可能用到这个配置的例子。有关详细信息，请参阅[本节](../../integrations-in-rancher/istio/configuration-options/selectors-and-scrape-configurations.md)。


 ## 配置打包在 Monitoring V2 中的应用
@@ -9,7 +9,7 @@ import TabItem from '@theme/TabItem';

 :::note

-本节参考假设你已经熟悉 Monitoring 组件的协同工作方式。有关 Alertmanager 的详细信息，请参阅[本节](../../explanations/integrations-in-rancher/monitoring-and-alerting/how-monitoring-works.md#3-alertmanager-工作原理)。
+本节参考假设你已经熟悉 Monitoring 组件的协同工作方式。有关 Alertmanager 的详细信息，请参阅[本节](../../integrations-in-rancher/monitoring-and-alerting/how-monitoring-works.md#3-alertmanager-工作原理)。

 :::

@@ -13,7 +13,7 @@ import TabItem from '@theme/TabItem';

 :::note

-本节参考假设你已经熟悉 Monitoring 组件的协同工作方式。有关详细信息，请参阅[本节](../../explanations/integrations-in-rancher/monitoring-and-alerting/how-monitoring-works.md)。
+本节参考假设你已经熟悉 Monitoring 组件的协同工作方式。有关详细信息，请参阅[本节](../../integrations-in-rancher/monitoring-and-alerting/how-monitoring-works.md)。

 :::

@@ -10,7 +10,7 @@ ServiceMonitor 比 PodMonitor 更常用，推荐用于大多数用例。

 :::note

-本节参考假设你已经熟悉 Monitoring 组件的协同工作方式。有关 Alertmanager 的详细信息，请参阅[本节](../../explanations/integrations-in-rancher/monitoring-and-alerting/how-monitoring-works.md)。
+本节参考假设你已经熟悉 Monitoring 组件的协同工作方式。有关 Alertmanager 的详细信息，请参阅[本节](../../integrations-in-rancher/monitoring-and-alerting/how-monitoring-works.md)。

 :::

@@ -7,7 +7,7 @@ import TabItem from '@theme/TabItem';

 默认情况下，流水线内部的 Docker 镜像仓库和 Minio 工作负载都使用临时卷。这是开箱即用的默认存储方式，能让测试变得更加便利。但如果运行 Docker 镜像仓库或 Minio 的节点出现故障，你将丢失构建镜像和构建日志。在大多数情况下，这不是太大的问题。如果你希望构建镜像和日志能够在节点故障中幸免于难，你可以让 Docker 镜像仓库和 Minio 使用持久卷。

-本节假设你了解持久存储在 Kubernetes 中的工作原理。如需更多信息，请参阅[存储的工作原理](../../how-to-guides/advanced-user-guides/manage-clusters/create-kubernetes-persistent-storage/manage-persistent-storage/about-persistent-storage.md)。
+本节假设你了解持久存储在 Kubernetes 中的工作原理。如需更多信息，请参阅[存储的工作原理](../../how-to-guides/new-user-guides/manage-clusters/create-kubernetes-persistent-storage/manage-persistent-storage/about-persistent-storage.md)。

 :::note 先决条件（适用于 A 和 B）：

@@ -40,7 +40,7 @@ import TabItem from '@theme/TabItem';
   1. 单击**定义**。

   </TabItem>
-    <TabItem value="使用已有的持久卷">
+   <TabItem value="使用已有的持久卷">

   1. 输入卷声明的**名称**。
   1. 从下拉列表中选择**持久卷声明**。
@@ -39,7 +39,7 @@ Rancher v2.5 改进了与 Istio 的集成。
 如需更多信息，请参阅 [Istio 文档](../pages-for-subheaders/istio.md)。
 ## OPA Gatekeeper

-[OPA Gatekeeper](https://github.com/open-policy-agent/gatekeeper) 是一个开源项目，它对 OPA 和 Kubernetes 进行了集成，以通过许可控制器 Webhook 提供策略控制。有关如何在 Rancher 中启用 Gatekeeper 的详细信息，请参阅 [OPA Gatekeeper](../explanations/integrations-in-rancher/opa-gatekeeper.md)。
+[OPA Gatekeeper](https://github.com/open-policy-agent/gatekeeper) 是一个开源项目，它对 OPA 和 Kubernetes 进行了集成，以通过许可控制器 Webhook 提供策略控制。有关如何在 Rancher 中启用 Gatekeeper 的详细信息，请参阅 [OPA Gatekeeper](../integrations-in-rancher/opa-gatekeeper.md)。

 ## CIS 扫描

@@ -101,6 +101,6 @@ RKE 每个角色至少需要一个节点，但并不强制每个节点只能有

 如果你使用[授权集群端点（ACE）](../../pages-for-subheaders/rancher-manager-architecture.md#4-授权集群端点)，我们建议你创建一个指向负载均衡器的 FQDN，这个负载均衡器把流量转到所有角色为 `controlplane` 的节点。

-如果你在负载均衡器上使用了私有 CA 签发的证书，你需要提供 CA 证书，这个证书会包含在生成的 kubeconfig 文件中，以校验证书链。详情请参见 [kubeconfig 文件](../../how-to-guides/advanced-user-guides/manage-clusters/access-clusters/use-kubectl-and-kubeconfig.md)和 [API 密钥](../user-settings/api-keys.md#创建-api-密钥)的相关文档。
+如果你在负载均衡器上使用了私有 CA 签发的证书，你需要提供 CA 证书，这个证书会包含在生成的 kubeconfig 文件中，以校验证书链。详情请参见 [kubeconfig 文件](../../how-to-guides/new-user-guides/manage-clusters/access-clusters/use-kubectl-and-kubeconfig.md)和 [API 密钥](../user-settings/api-keys.md#创建-api-密钥)的相关文档。

 在 Rancher 2.6.3 中，注册的 RKE2 和 K3s 集群可以使用 ACE 支持。点击[这里](../../how-to-guides/new-user-guides/kubernetes-clusters-in-rancher-setup/register-existing-clusters.md#对-rke2-和-k3s-集群的授权集群端点支持)了解在下游集群中开启 ACE 的步骤。
@@ -26,7 +26,7 @@ Pod。Bob 通过 Rancher 的认证代理进行身份验证。

 Rancher 使用 [ServiceAccount](https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/) 与 Kubernetes 集群通信，该 ServiceAccount 为在 Pod 中运行的进程提供身份。

-默认情况下，Rancher 生成一个 [kubeconfig 文件](../../how-to-guides/advanced-user-guides/manage-clusters/access-clusters/use-kubectl-and-kubeconfig.md)，文件包含凭证信息，用于为 Rancher Server 连接下游集群的 Kubernetes API Server 的代理。kubeconfig 文件 (`kube_config_rancher-cluster.yml`) 包含对集群的完全访问权限。
+默认情况下，Rancher 生成一个 [kubeconfig 文件](../../how-to-guides/new-user-guides/manage-clusters/access-clusters/use-kubectl-and-kubeconfig.md)，文件包含凭证信息，用于为 Rancher Server 连接下游集群的 Kubernetes API Server 的代理。kubeconfig 文件 (`kube_config_rancher-cluster.yml`) 包含对集群的完全访问权限。

 ### 2. Cluster Controller 和 Cluster Agent

@@ -73,7 +73,7 @@ Cluster Agent，也叫做 `cattle-cluster-agent`，是运行在下游集群中

 为下游集群启用授权集群端点后，Rancher 会在 kubeconfig 文件中额外生成一段 Kubernetes 上下文，用于直连到集群。该文件具有 `kubectl` 和 `helm`的凭证。

-如果 Rancher 出现问题，你需要使用此 kubeconfig 文件中定义的上下文来访问集群。因此，我们建议你导出 kubeconfig 文件，以便在 Rancher 出现问题时，仍能使用文件中的凭证访问集群。详情请参见使用 [kubectl 和 kubeconfig 文件](../../how-to-guides/advanced-user-guides/manage-clusters/access-clusters/use-kubectl-and-kubeconfig.md)访问集群的章节。
+如果 Rancher 出现问题，你需要使用此 kubeconfig 文件中定义的上下文来访问集群。因此，我们建议你导出 kubeconfig 文件，以便在 Rancher 出现问题时，仍能使用文件中的凭证访问集群。详情请参见使用 [kubectl 和 kubeconfig 文件](../../how-to-guides/new-user-guides/manage-clusters/access-clusters/use-kubectl-and-kubeconfig.md)访问集群的章节。

 # 重要文件

@@ -85,7 +85,7 @@ Cluster Agent，也叫做 `cattle-cluster-agent`，是运行在下游集群中

 > **注意**：后两个文件名中的 `rancher-cluster` 部分取决于你命名 RKE 集群配置文件的方式。

-有关在没有 Rancher 认证代理和其他配置选项的情况下连接到集群的更多信息，请参见 [kubeconfig 文件](../../how-to-guides/advanced-user-guides/manage-clusters/access-clusters/use-kubectl-and-kubeconfig.md)。
+有关在没有 Rancher 认证代理和其他配置选项的情况下连接到集群的更多信息，请参见 [kubeconfig 文件](../../how-to-guides/new-user-guides/manage-clusters/access-clusters/use-kubectl-and-kubeconfig.md)。

 # 配置 Kubernetes 集群的工具

@@ -28,7 +28,7 @@ title: 使用 CIS 1.6 Benchmark 的 RKE 强化指南
 #### 已知问题

 - 如果注册自定义节点时仅提供公共 IP，CIS 1.6 强化设置中用于 Pod 的 Rancher **exec shell** 和 **view logs** 将**不起作用**。此功能要求在注册自定义节点时提供私有 IP。
- 如果把 `default_pod_security_policy_template_id:` 设置为 `restricted` 或 `restricted-noroot`，根据 Rancher 提供的 [Pod 安全策略 (PSP)](../../../how-to-guides/advanced-user-guides/authentication-permissions-and-global-configuration/create-pod-security-policies.md)，Rancher 会在默认 ServiceAccount 上创建 **RoleBindings** 和 **ClusterRoleBindings**。CIS 1.6 检查 5.1.5 时会要求默认 ServiceAccount 除了默认值之外没有绑定到其他角色或集群角色。此外，你还需要配置默认 ServiceAccount，使其不提供 ServiceAccount 令牌并且没有显式分配任何权限。
+- 如果把 `default_pod_security_policy_template_id:` 设置为 `restricted` 或 `restricted-noroot`，根据 Rancher 提供的 [Pod 安全策略 (PSP)](../../../how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/create-pod-security-policies.md)，Rancher 会在默认 ServiceAccount 上创建 **RoleBindings** 和 **ClusterRoleBindings**。CIS 1.6 检查 5.1.5 时会要求默认 ServiceAccount 除了默认值之外没有绑定到其他角色或集群角色。此外，你还需要配置默认 ServiceAccount，使其不提供 ServiceAccount 令牌并且没有显式分配任何权限。

 ### 配置内核运行时参数

@@ -38,7 +38,7 @@ rancher_kubernetes_engine_config: # Your RKE template config goes here.
    strategy: x509
  ignore_docker_version: true
 #
-# # 目前仅支持 Nginx Ingress 提供商。
+# # 目前仅支持 Nginx ingress provider
 # # 要禁用 Ingress controller，设置 `provider: none`
 # # 要在指定节点上禁用 Ingress，使用 node_selector，例如：
 #    provider: nginx
@@ -33,7 +33,7 @@ API 审计日志记录了通过 Rancher Server 进行的所有用户和系统事

 默认情况下，API 审计日志会写入到 Rancher 容器内的 `/var/log/auditlog`。你可将此目录共享为卷，并设置 `AUDIT_LEVEL` 以启用日志。

-有关更多信息和选项，请参见 [API 审计日志](../../getting-started/installation-and-upgrade/advanced-options/advanced-use-cases/enable-api-audit-log.md)。
+有关更多信息和选项，请参见 [API 审计日志](../../how-to-guides/advanced-user-guides/enable-api-audit-log.md)。

 特权访问是[必须](../../pages-for-subheaders/rancher-on-a-single-node-with-docker.md#rancher-特权访问)的。

@@ -60,7 +60,7 @@ docker run -d --restart=unless-stopped \

 特权访问是[必须](../../pages-for-subheaders/rancher-on-a-single-node-with-docker.md#rancher-特权访问)的。

-参见 [TLS 设置](../installation-references/tls-settings.md)了解更多信息和选项。
+参见 [TLS 设置](../../getting-started/installation-and-upgrade/installation-references/tls-settings.md)了解更多信息和选项。

 ### 离线环境

@@ -7,6 +7,7 @@ title: 系统工具
 系统工具（System Tools）自 2022 年 6 月起已弃用。

 :::
+
 # 日志

 请使用 [logs-collector](https://github.com/rancherlabs/support-tools/tree/master/collection/rancher/v2.x/logs-collector) 来收集你的集群日志。
@@ -20,7 +20,7 @@ title: 管理云凭证
 1. 点击 **☰ > 集群管理**。
 1. 单击**云凭证**。
 1. 单击**创建**。
-1. 单击云凭证类型。下拉列表中的选项取决于 Rancher 中的 `active` [主机驱动](../../how-to-guides/advanced-user-guides/authentication-permissions-and-global-configuration/about-provisioning-drivers/manage-node-drivers.md)。
+1. 单击云凭证类型。下拉列表中的选项取决于 Rancher 中的 `active` [主机驱动](../../how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/about-provisioning-drivers/manage-node-drivers.md)。
 1. 输入云凭证的名称。
 1. 根据所选的云凭证类型输入所需的值，从而向基础设施提供商进行身份验证。
 1. 单击**创建**。
@@ -26,7 +26,7 @@ title: 管理节点模板

   :::note

-   默认的 `active` [主机驱动](../../how-to-guides/advanced-user-guides/authentication-permissions-and-global-configuration/about-provisioning-drivers/manage-node-drivers.md)和任何标记了 `password` 字段的主机驱动都需要使用[云凭证](../../pages-for-subheaders/use-new-nodes-in-an-infra-provider.md#云凭证)。
+   默认的 `active` [主机驱动](../../how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/about-provisioning-drivers/manage-node-drivers.md)和任何标记了 `password` 字段的主机驱动都需要使用[云凭证](../../pages-for-subheaders/use-new-nodes-in-an-infra-provider.md#云凭证)。

   :::