Merge pull request #1274 from JacieChao/docs

update missing chinese translation for v2.6
2026-09-24 20:18:18 +00:00 · 2024-05-08 16:33:41 -07:00
parent 8e3985e633 339ee48926
commit cbb2a6db85
13 changed files with 533 additions and 57 deletions
@@ -64,28 +64,28 @@
    "description": "The label for category New User Guides in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.Authentication, Permissions, and Global Configuration": {
-    "message": "身份验证、权限和全局配置",
+    "message": "认证、权限和全局配置",
    "description": "The label for category Authentication, Permissions, and Global Configuration in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Authentication Config": {
-    "message": "身份验证配置",
-    "description": "The label for category Authentication Config in sidebar tutorialSidebar"
+  "sidebar.tutorialSidebar.category.Configuring Authentication": {
+    "message": "配置认证",
+    "description": "The label for category Configuring Authentication in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Configure OpenLDAP": {
+  "sidebar.tutorialSidebar.category.Configuring OpenLDAP": {
    "message": "配置 OpenLDAP",
-    "description": "The label for category Configure OpenLDAP in sidebar tutorialSidebar"
+    "description": "The label for category Configuring OpenLDAP in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Configure Microsoft AD Federation Service (SAML)": {
+  "sidebar.tutorialSidebar.category.Configuring Microsoft AD Federation Service (SAML)": {
    "message": "配置 Microsoft AD FS (SAML)",
-    "description": "The label for category Configure Microsoft AD Federation Service (SAML) in sidebar tutorialSidebar"
+    "description": "The label for category Configuring Microsoft AD Federation Service (SAML) in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Configure Shibboleth (SAML)": {
+  "sidebar.tutorialSidebar.category.Configuring Shibboleth (SAML)": {
    "message": "配置 Shibboleth (SAML)",
-    "description": "The label for category Configure Shibboleth (SAML) in sidebar tutorialSidebar"
+    "description": "The label for category Configuring Shibboleth (SAML) in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Manage Role-Based Access Control (RBAC)": {
+  "sidebar.tutorialSidebar.category.Managing Role-Based Access Control (RBAC)": {
    "message": "管理 RBAC",
-    "description": "The label for category Manage Role-Based Access Control (RBAC) in sidebar tutorialSidebar"
+    "description": "The label for category Managing Role-Based Access Control (RBAC) in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.About Provisioning Drivers": {
    "message": "关于 Provisioning 驱动",
@@ -95,9 +95,9 @@
    "message": "关于 RKE1 模板",
    "description": "The label for category About RKE1 Templates in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Manage Clusters": {
-    "message": "管理集群",
-    "description": "The label for category Manage Clusters in sidebar tutorialSidebar"
+  "sidebar.tutorialSidebar.category.Cluster Administration": {
+    "message": "集群管理",
+    "description": "The label for category Cluster Administration in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.Access Clusters": {
    "message": "访问集群",
@@ -115,9 +115,9 @@
    "message": "配置存储示例",
    "description": "The label for category Provisioning Storage Examples in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Kubernetes Cluster Setup": {
-    "message": "Kubernetes 集群设置",
-    "description": "The label for category Kubernetes Cluster Setup in sidebar tutorialSidebar"
+  "sidebar.tutorialSidebar.category.Setting up a Kubernetes Cluster for Rancher Server": {
+    "message": "为 Rancher 设置 Kubernetes 集群",
+    "description": "The label for category Setting up a Kubernetes Cluster for Rancher Server in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.Infrastructure Setup": {
    "message": "基础设施设置",
@@ -147,21 +147,21 @@
    "message": "设置 Cloud Provider",
    "description": "The label for category Setting up Cloud Providers in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Launch Kubernetes with Rancher": {
+  "sidebar.tutorialSidebar.category.Launching Kubernetes with Rancher": {
    "message": "使用 Rancher 启动 Kubernetes",
-    "description": "The label for category Launch Kubernetes with Rancher in sidebar tutorialSidebar"
+    "description": "The label for category Launching Kubernetes with Rancher in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.Launching New Nodes in an Infra Provider": {
    "message": "在基础设施提供商中使用新节点",
    "description": "The label for category Launching New Nodes in an Infra Provider in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.vSphere": {
-    "message": "vSphere",
-    "description": "The label for category vSphere in sidebar tutorialSidebar"
+  "sidebar.tutorialSidebar.category.Creating a vSphere Cluster": {
+    "message": "创建 vSphere 集群",
+    "description": "The label for category Creating a vSphere Cluster in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Nutanix": {
-    "message": "Nutanix",
-    "description": "The label for category Nutanix in sidebar tutorialSidebar"
+  "sidebar.tutorialSidebar.category.Creating a Nutanix AOS Cluster": {
+    "message": "创建 Nutanix AOS 集群",
+    "description": "The label for category Creating a Nutanix AOS Cluster in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.Kubernetes Resources Setup": {
    "message": "Kubernetes 资源设置",
@@ -179,13 +179,13 @@
    "message": "负载均衡和 Ingress Controller",
    "description": "The label for category Load Balancer and Ingress Controller in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Helm Charts in Rancher": {
-    "message": "Rancher 中的 Helm Chart",
-    "description": "The label for category Helm Charts in Rancher in sidebar tutorialSidebar"
+  "sidebar.tutorialSidebar.category.Helm Charts and Apps": {
+    "message": "Helm Charts 和 Apps",
+    "description": "The label for category Helm Charts and Apps in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Deploy Apps Across Clusters": {
+  "sidebar.tutorialSidebar.category.Deploying Apps Across Clusters": {
    "message": "跨集群部署应用",
-    "description": "The label for category Deploy Apps Across Clusters in sidebar tutorialSidebar"
+    "description": "The label for category Deploying Apps Across Clusters in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.Backup, Restore, and Disaster Recovery": {
    "message": "备份、还原和灾难恢复",
@@ -195,13 +195,13 @@
    "message": "高级用户指南",
    "description": "The label for category Advanced User Guides in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Manage Projects": {
-    "message": "管理项目",
-    "description": "The label for category Manage Projects in sidebar tutorialSidebar"
+  "sidebar.tutorialSidebar.category.Project Administration": {
+    "message": "项目管理",
+    "description": "The label for category Project Administration in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Manage Project Resource Quotas": {
-    "message": "管理项目资源配额",
-    "description": "The label for category Manage Project Resource Quotas in sidebar tutorialSidebar"
+  "sidebar.tutorialSidebar.category.Project Resource Quotas": {
+    "message": "项目资源配额",
+    "description": "The label for category Project Resource Quotas in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.Monitoring/Alerting Guides": {
    "message": "Monitoring/Alerting 指南",
@@ -211,33 +211,33 @@
    "message": "Prometheus Federator 指南",
    "description": "The label for category Prometheus Federator Guides in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Monitoring V2 Configuration Guides": {
-    "message": "Monitoring V2 配置指南",
-    "description": "The label for category Monitoring V2 Configuration Guides in sidebar tutorialSidebar"
+  "sidebar.tutorialSidebar.category.Monitoring Configuration Guides": {
+    "message": "Monitoring 配置指南",
+    "description": "The label for category Monitoring Configuration Guides in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.Advanced Configuration": {
    "message": "高级配置",
    "description": "The label for category Advanced Configuration in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Istio Setup Guide": {
+  "sidebar.tutorialSidebar.category.Istio Setup Guides": {
    "message": "Istio 设置指南",
-    "description": "The label for category Istio Setup Guide in sidebar tutorialSidebar"
+    "description": "The label for category Istio Setup Guides in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.CIS Scan Guides": {
    "message": "CIS 扫描指南",
    "description": "The label for category CIS Scan Guides in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Enable Experimental Features": {
+  "sidebar.tutorialSidebar.category.Enabling Experimental Features": {
    "message": "启用实验功能",
-    "description": "The label for category Enable Experimental Features in sidebar tutorialSidebar"
+    "description": "The label for category Enabling Experimental Features in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.Reference Guides": {
    "message": "参考指南",
    "description": "The label for category Reference Guides in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Best Practices": {
+  "sidebar.tutorialSidebar.category.Best Practice Guides": {
    "message": "最佳实践",
-    "description": "The label for category Best Practices in sidebar tutorialSidebar"
+    "description": "The label for category Best Practice Guides in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.Rancher Server": {
    "message": "Rancher Server",
@@ -259,9 +259,9 @@
    "message": "Rancher Server 配置",
    "description": "The label for category Rancher Server Configuration in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.GKE Cluster Configuration": {
+  "sidebar.tutorialSidebar.category.GKE Cluster Configuration Reference": {
    "message": "GKE 集群配置",
-    "description": "The label for category GKE Cluster Configuration in sidebar tutorialSidebar"
+    "description": "The label for category GKE Cluster Configuration Reference in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.Use Existing Nodes": {
    "message": "使用现有节点",
@@ -287,9 +287,9 @@
    "message": "备份和恢复配置",
    "description": "The label for category Backup & Restore Configuration in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Monitoring V2 Configuration": {
-    "message": "Monitoring V2 配置",
-    "description": "The label for category Monitoring V2 Configuration in sidebar tutorialSidebar"
+  "sidebar.tutorialSidebar.category.Monitoring Configuration Reference": {
+    "message": "Monitoring 配置",
+    "description": "The label for category Monitoring Configuration Reference in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.Prometheus Federator": {
    "message": "Prometheus Federator",
@@ -311,9 +311,9 @@
    "message": "流水线",
    "description": "The label for category Pipelines in sidebar tutorialSidebar"
  },
-  "sidebar.tutorialSidebar.category.Rancher Security": {
-    "message": "Rancher 安全",
-    "description": "The label for category Rancher Security in sidebar tutorialSidebar"
+  "sidebar.tutorialSidebar.category.Rancher Security Guides": {
+    "message": "Rancher 安全指南",
+    "description": "The label for category Rancher Security Guides in sidebar tutorialSidebar"
  },
  "sidebar.tutorialSidebar.category.Rancher v2.6 Hardening Guides": {
    "message": "Rancher 2.6 强化指南",
@@ -0,0 +1,145 @@
+---
+title: 配置认证
+weight: 10
+---
+
+<head>
+  <link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/authentication-config"/>
+</head>
+
+Rancher 为 Kubernetes 添加的一个关键功能是集中式用户认证，这个特性允许用户使用一组凭证对任何 Kubernetes 集群进行身份认证。
+
+这种集中式用户认证是通过 Rancher 的认证代理完成的，该代理与 Rancher 的其余部分一并安装，此代理对用户进行认证并通过一个 Service Acount 将请求转发到 Kubernetes 集群中。
+
+:::warning
+
+用来启用外部认证的账户将被授予管理员权限。如果你使用一个测试账号或非管理员账号，该账号仍然会被授予管理员级别权限。请查看[外部认证配置和主体用户](#外部认证配置和用户主体)了解原因。
+
+:::
+
+## 外部认证与本地认证
+
+Rancher 认证代理可以与以下外部认证服务集成。
+
+| 认证服务                                                                                                               |
+| ---------------------------------------------------------------------------------------------------------------------- |
+| [Microsoft Active Directory](configure-active-directory.md)                                                            |
+| [GitHub](configure-github.md)                                                                                          |
+| [Microsoft Azure AD](configure-azure-ad.md)                                                                            |
+| [FreeIPA](configure-freeipa.md)                                                                                        |
+| [OpenLDAP](../configure-openldap/configure-openldap.md)                                                                |
+| [Microsoft AD FS](../configure-microsoft-ad-federation-service-saml/configure-microsoft-ad-federation-service-saml.md) |
+| [PingIdentity](configure-pingidentity.md)                                                                              |
+| [Keycloak (OIDC)](configure-keycloak-oidc.md)                                                                          |
+| [Keycloak (SAML)](configure-keycloak-saml.md)                                                                          |
+| [Okta](configure-okta-saml.md)                                                                                         |
+| [Google OAuth](configure-google-oauth.md)                                                                              |
+| [Shibboleth](../configure-shibboleth-saml/configure-shibboleth-saml.md)                                                |
+
+当然，Rancher 也提供[本地认证](create-local-users.md).
+
+在多数情况下，你应该使用外部认证服务而不是使用本地认证，因为外部认证服务可以集中式的对用户进行管理。但是在极少数情况下，例如外部认证服务不可用或正在维护时，你可能需要使用本地认证用户来管理 Rancher。
+
+## 用户和组
+
+Rancher 依赖用户和组来决定允许谁登录 Rancher 以及他们可以访问哪些资源。当使用外部认证时，外部认证系统会根据用户提供组的信息。这些用户和组被赋予了集群、项目、多集群应用以及全局 DNS 提供商和条目等资源的特定角色。当你对组进行授权时，在认证服务中所有属于这个组中的用户都有访问指定的资源的权限。有关角色和权限的更多信息，请查看 [RBAC](../manage-role-based-access-control-rbac/manage-role-based-access-control-rbac.md)。
+
+:::note
+
+本地认证不支持创建或管理组
+
+:::
+
+更多信息，请查看[用户和组](manage-users-and-groups.md)
+
+## Rancher 授权范围
+
+当你配置完 Rancher 使用外部认证服务后，你可以配置允许谁登录和使用 Rancher，包含如下的选项：
+
+| 访问级别                                 | 描述                                                                                                                                               |
+| ---------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------- |
+| 允许任何有效用户                         | 在认证服务中的*任何*用户都可以访问 Rancher。通常情况下不建议使用该设置！                                                                           |
+| 允许集群和项目成员，以及授权的用户和组织 | 认证服务中属于**集群成员**或**项目成员**的用户或组成员都可以登录 Rancher。此外添加在**授权的用户和组织**列表中的用户和组成员也可以登录到 Rancher。 |
+| 仅限于授权的用户可以访问                 | 仅有在授权用户和组织列表中的用户和组成员可以登录到 Rancher。                                                                                       |
+
+要在授权服务中为用户设置 Rancher 访问级别，请执行以下步骤：
+
+1. 在左上角，点击 **☰ > 用户 & 认证**。
+1. 在左侧导航栏，点击 **认证**.
+1. 设置完外部认证详细信息后，使用 **站点访问** 选项配置用户权限范围，上面的表格说明了每个选项的访问级别。
+1. 可选：如果你选择 **允许任何有效用户** 以外的选项，你可以通过在出现的文本框中搜索用户，将用户添加到授权用户和组织的列表中。
+1. 点击 **保存**。
+
+**结果:** Rancher 的访问配置被应用。
+
+:::note SAML 认证警告:
+
+- SAML 协议不支持搜索或查找用户或组。因此，将用户或组添加到 Rancher 时不会对其进行验证。
+- 添加用户时，必须正确输入确切的用户 ID（即 UID 字段）。键入用户 ID 时，将不会搜索可能匹配的其他用户 ID。
+- 添加组时，必须从文本框旁边的下拉列表中选择组。Rancher 假定来自文本框的任何输入都是用户。
+- 用户组下拉列表仅显示你所属的用户组。你将无法添加你不是其成员的组。
+
+:::
+
+## 外部认证配置和用户主体
+
+配置外部认证需要：
+
+- 分配了管理员角色的本地用户，以下称为 _本地主体_。
+- 可以使用外部认证服务进行认证的外部用户，以下简称为 _外部主体_。
+
+外部认证的配置也会影响 Rancher 中主体用户的管理方式，具体地说，当用户账户启用了外部认证时，将授予其管理员级别的权限。这是因为本地主体和外部主体共享相同的用户 ID 和访问权限。
+
+以下说明演示了这些效果：
+
+1. 作为本地主体登录到 Rancher 并完成外部身份验证的配置。
+
+   ![Sign In](/img/sign-in.png)
+
+2. Rancher 将外部主体与本地主体相关联。这两个用户共享本地主体的用户 ID。
+
+   ![Principal ID Sharing](/img/principal-ID.png)
+
+3. 完成配置后，Rancher 将自动退出本地主体。
+
+   ![Sign Out Local Principal](/img/sign-out-local.png)
+
+4. 然后，Rancher 会自动将你登录外部主体。
+
+   ![Sign In External Principal](/img/sign-in-external.png)
+
+5. 因为外部主体和本地主体共享一个 ID，所以用户列中不会再单独显示一个另外的外部主体的对象。
+
+   ![Sign In External Principal](/img/users-page.png)
+
+6. 外部主体和本地主体共享相同的访问权限。
+
+:::note 重新配置先前设置的认证
+
+如果需要重新配置或禁用后重新启用先前设置过的认证，请确保尝试这样做的用户以外部用户身份登录到 Rancher，而不是使用本地管理员登录。
+
+:::
+
+## 禁用认证
+
+当你禁用认证时，Rancher 会删除所有与之关联的资源，例如：
+
+- 密文
+- 绑定的全局角色。
+- 绑定的集群角色。
+- 绑定的项目角色。
+- 与外部认证关联但从未以本地用户身份登录 Rancher 的外部用户。
+
+由于此操作可能会导致许多资源丢失，因此你可能需要添加一些保护措施。若要确保禁用外部认证时不执行清理流程，需要为外部认证的配置添加特殊的注释。
+
+例如，若要对 Azure AD 认证增加保护措施，你需要在 authconfig 对象上增加 `azuread` 注释：
+
+`kubectl annotate --overwrite authconfig azuread management.cattle.io/auth-provider-cleanup='user-locked'`
+
+禁用 Azure AD 认证后，Rancher 不会执行清理流程，直到你将该注解设置为 `unlocked`。
+
+### 手动运行资源清理
+
+Rancher 可能会在本地集群中保留之前禁用的外部认证配置的资源，即使你配置对接了另一种认证也是如此。例如，如果你对接了 A 认证，然后禁用它，并重新对接使用 B 认证，当你升级到新版本的 Rancher 时，你可以手动触发对认证 A 配置的资源清理。
+
+要手动触发已禁用的认证配置的清理，请将 `unlocked` 值添加到对应认证配置的 `management.cattle.io/auth-provider-cleanup` 注解中。
@@ -0,0 +1,57 @@
+---
+title: 认证、权限和全局配置
+---
+
+<head>
+  <link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/how-to-guides/new-user-guides/authentication-permissions-and-global-configuration"/>
+</head>
+
+安装完成后，[系统管理员](manage-role-based-access-control-rbac/global-permissions.md)需要配置 Rancher 来配置认证、授权、安全性、默认设置、安全策略、驱动和全局 DNS 条目。
+
+## 首次登录
+
+首次登录 Rancher 后，Rancher 会提示你输入 **Rancher Server URL**。你需要将 URL 设置为 Rancher Server 的主要入口点。当负载均衡器位于 Rancher Server 集群前面时，URL 需要设置为负载均衡器地址。系统会自动尝试从运行 Rancher Server 的主机的 IP 地址或主机名推断 Rancher Server 的 URL，上述推断仅在你运行单节点 Rancher Server 时才正确。因此，在大多数情况下，你需要自己将 Rancher Server 的 URL 设置为正确的值。
+
+:::danger
+
+Rancher Server 的 URL 在设置后不可再更新。因此，你需要谨慎设置该 URL。
+
+:::
+
+## 认证
+
+Rancher 为 Kubernetes 增加了一项关键特性是集中式的用户认证。此特性允许设置本地用户和/或连接到外部认证程序。通过连接到外部认证程序，你可以使用该程序提供的用户和组。
+
+更多关于认证的工作原理以及如何配置对接各个认证程序，请参考[认证](authentication-config/authentication-config.md)。
+
+## 授权
+
+在 Rancher 中，每个人都是以 _用户_ 的身份进行鉴权，这是一个授予你访问 Rancher 的登录身份。用户登录 Rancher 后，他们的 _授权_ 或者他们在系统中的访问权限由用户的角色决定。Rancher 提供了内置的角色，允许你你轻松地配置用户对资源的权限，但是 Rancher 还提供了为每个 Kubernetes 资源自定义角色的功能。
+
+更多关于授权的工作原理以及自定义角色的使用，请参考 [RBAC](manage-role-based-access-control-rbac/manage-role-based-access-control-rbac.md)。
+
+## Pod 安全策略
+
+_Pod 安全策略_ (或 PSPs) 是控制 Pod 安全敏感方面规范的对象，例如 root 权限。如果一个 Pod 不满足 PSP 中指定的条件，Kubernetes 将不允许 Pod 启动，同时 Rancher 会显示一条错误信息。
+
+更多关于如何创建和使用 PSPs 的内容，请参考 [Pod 安全策略](create-pod-security-policies.md)。
+
+## Provisioning Drivers
+
+Rancher 中的驱动允许你管理哪些程序可以预置[托管的 Kubernetes 集群](../kubernetes-clusters-in-rancher-setup/set-up-clusters-from-hosted-kubernetes-providers/set-up-clusters-from-hosted-kubernetes-providers.md)或[云服务器节点](../launch-kubernetes-with-rancher/use-new-nodes-in-an-infra-provider/use-new-nodes-in-an-infra-provider.md)，允许 Rancher 部署和管理 Kubernetes。
+
+更多信息请参考 [Provisioning Drivers](about-provisioning-drivers/about-provisioning-drivers.md)。
+
+## 添加 Kubernetes 版本到 Rancher 中
+
+使用此功能，你可以在最新版本的 Kubernetes 发布后立即升级，而不需要升级 Rancher。此功能允许你轻松升级 Kubernetes 的补丁版本（例如 `v1.15.X`），但不打算升级 Kubernetes 的次要版本（例如 `v1.X.0`），因为 Kubernetes 倾向于在次要版本之间弃用或添加 API。
+
+Rancher 用于配置 [RKE 集群](../launch-kubernetes-with-rancher/launch-kubernetes-with-rancher.md) 的信息现在存储于 Rancher Kubernetes 元数据中，更多关于元数据的配置以及如何更改用于配置 RKE 集群的 Kubernetes 版本的信息，请参考 [Rancher Kubernetes 元数据](../../../getting-started/installation-and-upgrade/upgrade-kubernetes-without-upgrading-rancher.md)。
+
+Rancher Kubernetes 元数据包含 Kubernetes 版本信息，Rancher 使用这些信息来配置 [RKE 集群](../launch-kubernetes-with-rancher/launch-kubernetes-with-rancher.md)。
+
+关于元数据的工作原理以及如何配置元数据，请参考 [Rancher Kubernetes 元数据](../../../getting-started/installation-and-upgrade/upgrade-kubernetes-without-upgrading-rancher.md)。
+
+## 启用实验性功能
+
+Rancher 包含一些默认处于实验性和/或禁用的功能，功能开关允许你启用这些特性。更多信息请参考[功能开关](../../advanced-user-guides/enable-experimental-features/enable-experimental-features.md)。
@@ -0,0 +1,39 @@
+---
+title: 配置 Microsoft AD FS (SAML)
+---
+
+<head>
+  <link rel="canonical" href="https://ranchermanager.docs.rancher.com/how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/configure-microsoft-ad-federation-service-saml"/>
+</head>
+
+如果你的组织使用 Active Directory Federation Service (AD FS) 进行用户身份认证，你可以通过配置 Rancher 来允许用户使用 AD FS 凭证登录。
+
+## 先决条件
+
+已安装 Rancher。
+
+- 获取你的 Rancher Server URL。配置 AD FS 时，请使用该 URL 替换 `<RANCHER_SERVER>` 占位符。
+- 你必须在 Rancher 安装时具有全局管理员账号。
+
+你必须配置 [Microsoft AD FS 服务器](https://docs.microsoft.com/en-us/windows-server/identity/active-directory-federation-services)。
+
+- 获取你的 AD FS 服务器 IP/DNS 名称。配置 AD FS 时，请使用该 IP/DNS 名称替换 `<AD_SERVER>` 占位符。
+- 你必须有在 AD FS 服务器上添加 [Relying Party Trusts](https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/operations/create-a-relying-party-trust) 的权限。
+
+## 配置概要
+
+要让 Rancher Server 使用 Microsoft AD FS，你需要在 Active Directory 服务器上配置 AD FS，并将 Rancher 配置为使用 AD FS 服务器。如果需要获取在 Rancher 中设置 Microsoft AD FS 身份认证的指南，请参见：
+
+- [1. 在 Microsoft AD FS 中配置 Rancher](configure-ms-adfs-for-rancher.md)
+- [2. 在 Rancher 中配置 Microsoft AD FS](configure-rancher-for-ms-adfs.md)
+
+:::note SAML 身份提供商注意事项
+
+- SAML 协议不支持搜索或查找用户或组。因此，将用户或组添加到 Rancher 时不会对其进行验证。
+- 添加用户时，必须正确输入确切的用户 ID（即 `UID` 字段）。键入用户 ID 时，将不会搜索可能匹配的其他用户 ID。
+- 添加组时，必须从文本框旁边的下拉列表中选择组。Rancher 假定来自文本框的任何输入都是用户。
+- 用户组下拉列表仅显示你所属的用户组。如果你不是某个组的成员，你将无法添加该组。
+
+:::
+
+### [后续操作：在 Microsoft AD FS 中配置 Rancher](configure-ms-adfs-for-rancher.md)
@@ -2,6 +2,10 @@
 title: 1. 在 Microsoft AD FS 中配置 Rancher
 ---

+<head> 
+  <link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/configure-microsoft-ad-federation-service-saml/configure-ms-adfs-for-rancher"/>
+</head>
+
 在配置 Rancher 以支持 Active Directory Federation Service (AD FS) 之前，你必须在 AD FS 中将 Rancher 添加为 [relying party trust](https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/technical-reference/understanding-key-ad-fs-concepts)（信赖方信任）。

 1. 以管理用户身份登录 AD 服务器。
@@ -2,6 +2,10 @@
 title: 2. 在 Rancher 中配置 Microsoft AD FS
 ---

+<head> 
+  <link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/configure-microsoft-ad-federation-service-saml/configure-rancher-for-ms-adfs"/>
+</head>
+
 完成[在 Microsoft AD FS 中配置 Rancher](configure-ms-adfs-for-rancher.md) 后，将你的 Active Directory Federation Service (AD FS) 信息输入 Rancher，以便 AD FS 用户可以通过 Rancher 进行身份认证。

 :::note 配置 ADFS 服务器的重要说明：
@@ -0,0 +1,56 @@
+---
+title: 配置 OpenLDAP
+---
+
+<head>
+  <link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/configure-openldap"/>
+</head>
+
+如果你的组织使用 LDAP 进行认证，则可以配置 Rancher 与 OpenLDAP 服务器通信以对用户进行认证。这时 Rancher 管理员可以对外部用户系统中的用户和组进行集群和项目的访问控制，同时允许终端用户在登录 Rancher UI 时使用其 LDAP 凭据进行身份认证。
+
+## 先决条件
+
+必须为 Rancher 配置 LDAP 绑定账号（即 ServiceAccount），来搜索和检索应该具有访问权限的用户和组的 LDAP 条目。建议不要使用管理员账号或个人账号，而应在 OpenLDAP 中创建一个专用账号，该账号对配置的搜索库下的用户和组需要具有只读权限（参见下文）。
+
+> **使用 TLS?**
+>
+> 如果 OpenLDAP 服务器使用的证书是自签名的或不是来自认可的证书颁发机构，请确保手头有 PEM 格式的 CA 证书（包含所有中间证书）。你必须在配置期间粘贴此证书，以便 Rancher 能够验证证书链。
+
+## 在 Rancher 中配置 OpenLDAP
+
+配置 OpenLDAP 服务器，组和用户的设置。有关填写每个字段的帮助，请参见[配置参考](openldap-config-reference.md)
+
+> 在开始之前，请熟悉[外部认证配置和用户主体](../authentication-config/authentication-config.md#外部认证配置和用户主体)的概念。
+
+1. 在左上角，单击 **☰ > 用户 & 认证**。
+1. 在左侧导航栏，单击**认证**。
+1. 单击 **OpenLDAP**。填写**配置 OpenLDAP 服务器**表单。
+1. 点击**启用**。
+
+### 测试认证
+
+完成配置后，请测试与 OpenLDAP 服务器的连接。如果测试成功，则表明 OpenLDAP 认证已启用。
+
+:::note
+
+于此步骤中输入的 OpenLDAP 用户凭证将映射到本地主体账号，并在 Rancher 中分配系统管理员权限。因此，你应该决定使用哪个 OpenLDAP 账号来执行此步骤。
+
+:::
+
+1. 输入应映射到本地主体账号的 OpenLDAP 账号的**用户名**和**密码** 。
+2. 点击**启用 OpenLDAP 认证**来测试 OpenLDAP 的连接并完成设置。
+
+**结果**：
+
+- OpenLDAP 认证配置成功。
+- 与输入凭证对应的 LDAP 用户被映射到本地主体（管理员）账号。
+
+:::note
+
+如果 LDAP 服务中断，你仍然可以使用本地配置的 `admin` 账号和密码登录。
+
+:::
+
+## 附录：故障排除
+
+如果在测试与 OpenLDAP 服务器的连接时遇到问题，请首先仔细检查为 ServiceAccount 输入的凭证以及搜索库配置。你还可以检查 Rancher 日志来查明问题的原因。调试日志可能包含有关错误的更详细信息。详情请参见[如何启用调试日志](../../../../faq/technical-items.md#how-can-i-enable-debug-logging)。
@@ -4,7 +4,7 @@ title: OpenLDAP 配置参考

 有关配置 OpenLDAP 认证的更多详细信息，请参见[官方文档](https://www.openldap.org/doc/)。

-> 在开始之前，请熟悉[外部身份验证配置和主体用户](../../../../pages-for-subheaders/authentication-config.md#外部身份验证配置和用户主体)的概念。
+> 在开始之前，请熟悉[外部认证配置和用户主体](../authentication-config/authentication-config.md#外部认证配置和用户主体)的概念。


 ## 背景：OpenLDAP 认证流程
@@ -2,14 +2,18 @@
 title: Shibboleth 和 OpenLDAP 的组权限
 ---

+<head> 
+  <link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/configure-shibboleth-saml/about-group-permissions"/>
+</head>
+
 由于 Shibboleth 是 SAML 提供者，因此它不支持搜索用户组的功能。虽然 Shibboleth 集成可以验证用户凭证，但是如果没有其他配置，Shibboleth 不能在 Rancher 中给用户组分配权限。

-你可以通过配置 OpenLDAP 标识提供者来解决这个问题。如果让 Shibboleth 使用 OpenLDAP 后端，你将能够在 Rancher 中搜索组，并从 Rancher UI 将集群、项目或命名空间等资源分配给用户组。
+你可以通过配置 OpenLDAP 来解决这个问题。如果让 Shibboleth 使用 OpenLDAP 后端，你将能够在 Rancher 中搜索组，并从 Rancher UI 将集群、项目或命名空间等资源分配给用户组。

 ### 名词解释

 - **Shibboleth**：用于计算机网络和互联网的单点登录系统。它允许用户仅使用一种身份登录到各种系统。它验证用户凭证，但不单独处理组成员身份。
- **SAML**：安全声明标记语言（Security Assertion Markup Language），用于在身份提供程序和服务提供商之间交换身份验证和授权数据的开放标准。
+- **SAML**：安全声明标记语言（Security Assertion Markup Language），用于在身份提供程序和服务提供商之间交换认证和授权数据的开放标准。
 - **OpenLDAP**：轻型目录访问协议（LDAP）的免费开源实现。它用于管理组织的计算机和用户。OpenLDAP 对 Rancher 用户很有用，因为它支持组。只要组已存在于身份提供程序中，你就可以在 Rancher 中为组分配权限，从而让组访问资源（例如集群，项目或命名空间）。
 - **IdP 或 IDP**：身份提供程序。OpenLDAP 是身份提供程序的一个例子。

@@ -0,0 +1,104 @@
+---
+title: 配置 Shibboleth (SAML)
+---
+
+<head> 
+  <link rel="canonical" href="https://ranchermanager.docs.rancher.com/how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/configure-shibboleth-saml"/>
+</head>
+
+如果你的组织使用 Shibboleth Identity Provider (IdP) 进行用户身份认证，你可以通过配置 Rancher 来允许用户使用 Shibboleth 凭证登录。
+
+在此配置中，当 Rancher 用户登录时，他们将被重定向到 Shibboleth IdP 来输入凭证。认证结束后，他们将被重定向回 Rancher UI。
+
+如果你将 OpenLDAP 配置为 Shibboleth 的后端，SAML 断言会返回到 Rancher，其中包括用于引用组的用户属性。然后，通过认证的用户将能够访问其所在的组有权访问的 Rancher 资源。
+
+> 本节假定你已了解 Rancher、Shibboleth 和 OpenLDAP 是如何协同工作的。有关工作原理的详细说明，请参见[本页](about-group-permissions.md)
+
+# 在 Rancher 中设置 Shibboleth
+
+### Shibboleth 先决条件
+
+> - 你必须配置了 Shibboleth IdP 服务器。
+> - 以下是 Rancher Service Provider 配置所需的 URL：
+>   元数据 URL：`https://<rancher-server>/v1-saml/shibboleth/saml/metadata`
+>   断言使用者服务 (ACS) URL：`https://<rancher-server>/v1-saml/shibboleth/saml/acs`
+> - 从 IdP 服务器导出 `metadata.xml` 文件。详情请参见 [Shibboleth 文档](https://wiki.shibboleth.net/confluence/display/SP3/Home)。
+
+### 在 Rancher 中配置 Shibboleth
+
+如果你的组织使用 Shibboleth 进行用户身份认证，你可以通过配置 Rancher 来允许你的用户使用 IdP 凭证登录。
+
+1. 在左上角，单击 **☰ > 用户 & 认证**。
+1. 在左侧导航栏，单击**认证**。
+1. 单击 **Shibboleth**。
+1. 填写**配置 Shibboleth 账号**表单。Shibboleth IdP 允许你指定要使用的数据存储。你可以添加数据库或使用现有的 ldap 服务器。例如，如果你选择 Active Directory (AD) 服务器，下面的示例将描述如何将 AD 属性映射到 Rancher 中的字段：
+
+   1. **显示名称字段**：包含用户显示名称的 AD 属性（例如：`displayName`）。
+
+   1. **用户名字段**：包含用户名/给定名称的 AD 属性（例如：`givenName`）。
+
+   1. **UID 字段**：每个用户唯一的 AD 属性（例如：`sAMAccountName`、`distinguishedName`）。
+
+   1. **用户组字段**: 创建用于管理组成员关系的条目（例如：`memberOf`）。
+
+   1. **Rancher API 主机**：你的 Rancher Server 的 URL。
+
+   1. **私钥**和**证书**：密钥/证书对，用于在 Rancher 和你的 IdP 之间创建一个安全外壳（SSH）。
+
+      你可以使用 openssl 命令进行创建。例如：
+
+      ```
+      openssl req -x509 -newkey rsa:2048 -keyout myservice.key -out myservice.cert -days 365 -nodes -subj "/CN=myservice.example.com"
+      ```
+
+   1. **IDP 元数据**：从 IdP 服务器导出的 `metadata.xml` 文件。
+
+1. 完成**配置 Shibboleth 账号**表单后，单击**启用**。
+
+   Rancher 会将你重定向到 IdP 登录页面。输入使用 Shibboleth IdP 的用户凭证，来验证你的 Rancher Shibboleth 配置。
+
+   :::note
+
+   你可能需要禁用弹出窗口阻止程序才能看到 IdP 登录页面。
+
+   :::
+
+**结果**：已将 Rancher 配置为使用 Shibboleth。你的用户现在可以使用 Shibboleth 登录名登录 Rancher。
+
+### SAML 提供商注意事项
+
+SAML 协议不支持用户或用户组的搜索或查找。因此，如果你没有为 Shibboleth 配置 OpenLDAP，则请留意以下警告。
+
+- 在 Rancher 中为用户或组分配权限时，不会对用户或组进行验证。
+- 添加用户时，必须正确输入准确的用户 ID（即 UID 字段）。在你输入用户 ID 时，将不会搜索可能匹配的其他用户 ID。
+- 添加组时，必须从文本框旁边的下拉列表中选择组。Rancher 假定来自文本框的任何输入都是用户。
+- 用户组下拉列表仅显示你所属的用户组。如果你不是某个组的成员，你将无法添加该组。
+
+要在 Rancher 中分配权限时启用搜索组，你需要为 SAML 身份认证服务配置支持组的后端（例如 OpenLDAP）。
+
+# 在 Rancher 中设置 OpenLDAP
+
+如果你将 OpenLDAP 配置为 Shibboleth 的后端，SAML 断言会返回到 Rancher，其中包括用于引用组的用户属性。然后，通过认证的用户将能够访问其所在的组有权访问的 Rancher 资源。
+
+### OpenLDAP 先决条件
+
+必须为 Rancher 配置 LDAP 绑定账号（即 ServiceAccount），来搜索和检索应该具有访问权限的用户和组的 LDAP 条目。建议不要使用管理员账号或个人账号，而应在 OpenLDAP 中创建一个专用账号，该账号对配置的搜索库下的用户和组需要具有只读权限（参见下文）。
+
+> **使用 TLS？**
+>
+> 如果 OpenLDAP 服务器使用的证书是自签名的或不是来自认可的证书颁发机构，请确保手头有 PEM 格式的 CA 证书（包含所有中间证书）。你必须在配置期间粘贴此证书，以便 Rancher 能够验证证书链。
+
+### 在 Rancher 中配置 OpenLDAP
+
+配置 OpenLDAP 服务器，组和用户的设置。有关填写每个字段的帮助，请参见[配置参考](../configure-openldap/openldap-config-reference.md)。请注意，嵌套组成员资格不适用于 Shibboleth。
+
+> 在开始之前，请熟悉[外部认证配置和用户主体](../authentication-config/authentication-config.md#外部认证配置和用户主体)的概念。
+
+1. 使用初始的本地 `admin` 账号登录到 Rancher UI。
+1. 在左上角，单击 **☰ > 用户 & 认证**。
+1. 在左侧导航栏，单击**认证**。
+1. 单击 **OpenLDAP**。将显示**配置 OpenLDAP 服务器**表单。
+
+## 故障排除
+
+如果在测试与 OpenLDAP 服务器的连接时遇到问题，请首先仔细检查为 ServiceAccount 输入的凭证以及搜索库配置。你还可以检查 Rancher 日志来查明问题的原因。调试日志可能包含有关错误的更详细信息。详情请参见[如何启用调试日志](../../../../faq/technical-items.md#how-can-i-enable-debug-logging)。
@@ -0,0 +1,29 @@
+---
+title: 管理 RBAC
+---
+
+<head>
+  <link rel="canonical" href="https://ranchermanager.docs.rancher.com/how-to-guides/new-user-guides/authentication-permissions-and-global-configuration/manage-role-based-access-control-rbac"/>
+</head>
+
+Rancher 通过 _用户_ 进行授权管理。如[认证](../authentication-config/authentication-config.md)中所述，用户可以是本地用户，也可以是外部用户。
+
+配置外部认证后，**用户**页面上显示的用户会发生变化。
+
+- 如果你以本地用户身份登录，则仅显示本地用户。
+
+- 如果你以外部用户身份登录，则会同时显示外部用户和本地用户。
+
+## 用户和角色
+
+一旦用户登录到 Rancher，他们的 _授权_，也就是他们在系统中的访问权限，将由 _全局权限_ 和 _集群和项目角色_ 决定。
+
+- [全局权限](global-permissions.md):
+
+  定义用户在任何特定集群之外的授权。
+
+- [集群和项目角色](cluster-and-project-roles.md):
+
+  定义用户在分配了角色的特定集群或项目中的授权。
+
+全局权限以及集群和项目角色都是基于 [Kubernetes RBAC](https://kubernetes.io/docs/reference/access-authn-authz/rbac/) 实现的。因此，权限和角色的底层实现是由 Kubernetes 完成的。
@@ -0,0 +1,13 @@
+---
+title: 新用户指南
+---
+
+<head>
+  <link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/how-to-guides/new-user-guides"/>
+</head>
+
+新用户指南，也称为 **教程**，描述了用户在完成一些具体操作时要遵循的实用步骤。这些文档被称为“以学习为导向”的文档，用户通过“实际操作”来学习。
+
+新用户指南旨在指导初学者或 Rancher 的日常用户通过一系列步骤来学习如何做某件事。目标是让用户可以通过易于操作、有意义的、可重复的指示来学习如何完成任务。这些指南将帮助用户完成工作，然后立即获得承诺的结果。
+
+普通的 Rancher 用户的技术水平高于“初学者”，但是新用户指南旨在同等的帮助新用户、初学者以及经验丰富的 Rancher 客户，这是通过结合使用高级和技术语言来介绍主题并指导用户完成每个 Rancher 用户都必须了解的一般任务来实现的。
@@ -0,0 +1,21 @@
+---
+title: Kubernetes 组件
+---
+
+<head>
+  <link rel="canonical" href="https://ranchermanager.docs.rancher.com/zh/troubleshooting/kubernetes-components"/>
+</head>
+
+本文列出的命令和步骤适用于 [Rancher 启动的 Kubernetes](../../how-to-guides/new-user-guides/launch-kubernetes-with-rancher/launch-kubernetes-with-rancher.md) 集群上的核心 Kubernetes 组件。
+
+本文包括以下类别的故障排除提示：
+
+- [etcd 节点故障排除](troubleshooting-etcd-nodes.md)
+- [Controlplane 节点故障排除](troubleshooting-controlplane-nodes.md)
+- [nginx-proxy 节点故障排除](troubleshooting-nginx-proxy.md)
+- [Worker 节点和通用组件故障排除](troubleshooting-worker-nodes-and-generic-components.md)
+
+## Kubernetes 组件图
+
+![集群图](/img/clusterdiagram.svg)<br/>
+<sup>线条表示组件之间的通信。而颜色纯粹用于视觉辅助。</sup>