通用选项

高级选项

API 审计日志

您可以为 Rancher Server 集群上的System项目启用 Rancher 工具中的日志服务。

--set auditLog.level=1

默认情况下，启用审计日志将在 Rancher pod 中创建一个 sidecar 容器。这个容器（rancher-audit-log）会将日志流传输到stdout。您可以像收集任何容器日志一样收集此日志。将 sidecar 用作审计日志时，hostPath，maxAge，maxBackups和maxSize选项不适用。建议使用您的操作系统或 Docker 守护进程的日志轮换功能来控制磁盘空间的使用。为 Rancher Server 启用Rancher 工具中的集群日志服务或Rancher 工具中的项目日志服务。

将auditLog.destination设置为hostPath的值，以将日志转发至与主机系统共享的卷，而不是流至 Sidecar 容器。将目标设置为hostPath时，您可能需要调整其他 auditLog 参数以进行日志轮换。

设置额外环境变量

自 v2.2.0 起可用

您可以使用extraEnv为 Rancher Server 设置额外的环境变量。该列表使用与容器清单定义相同的name和value键。记住需要给值加上双引号。

--set 'extraEnv[0].name=CATTLE_TLS_MIN_VERSION'
--set 'extraEnv[0].value=1.0'

TLS 设置

自 v2.2.0 起可用

要设置不同的 TLS 配置，可以使用CATTLE_TLS_MIN_VERSION和CATTLE_TLS_CIPHERS环境变量。例如，将 TLS 1.0 配置为接受的最低 TLS 版本:

--set 'extraEnv[0].name=CATTLE_TLS_MIN_VERSION'
--set 'extraEnv[0].value=1.0'

参阅 TLS 设置 获取更多信息和选项。

导入local集群

默认情况下，Rancher Server 将检测并导入正在运行的local集群。有权访问local集群的用户具有对 Rancher Server 管理的所有集群的root访问权限。

如果您的环境中存在此问题，则可以在初次安装时将此选项设置为false。

注意事项: 此选项仅在第一次安装 Rancher 时有效。参阅 Issue 16522 获取更多信息。

--set addLocal="false"

自定义您的 Ingress

要自定义或使用 Rancher Server 的其他 Ingress，您可以设置自己的 Ingress annotations。

设置自定义证书颁发者的示例：

--set ingress.extraAnnotations.'certmanager\.k8s\.io/cluster-issuer'=ca-key-pair

v2.0.15, v2.1.10 和 v2.2.4 可用

使用ingress.configurationSnippet设置静态代理头的示例。该值像模板一样进行解析，因此可以使用变量。

--set ingress.configurationSnippet='more_set_input_headers X-Forwarded-Host {{ .Values.hostname }};'

HTTP 代理

Rancher 需要 Internet 访问才能使用某些功能 (helm charts)。使用proxy设置您的代理服务器。

在noProxy添加例外的 IP。确保添加了 Service cluster IP(默认: 10.43.0.1/16)和任何 worker 集群controlplane节点。Rancher 在此列表中支持 CIDR 范围表示法。

--set proxy="http://<username>:<password>@<proxy_url>:<proxy_port>/"
--set noProxy="127.0.0.0/8\,10.0.0.0/8\,172.16.0.0/12\,192.168.0.0/16"

附加授信 CAs

如果您有私有镜像仓库（registries）、应用商店（catalogs） 或拦截证书的代理，则可能需要向 Rancher 添加额外的受信任的 CA。

--set additionalTrustedCAs=true

创建完 Rancher deployment 后，将 pem 格式的 CA 证书复制到一个名为ca-additional.pem的文件中，并使用kubectl在cattle-system命名空间中创建tls-ca-additional 密文。

kubectl -n cattle-system create secret generic tls-ca-additional --from-file=ca-additional.pem=./ca-additional.pem

私有镜像仓库(Registry)和离线安装

有关使用私有 registry 安装 Rancher 的详细信息，请参阅离线环境安装指南。

外部 TLS Termination

我们建议将负载均衡器配置为 4 层均衡器，将普通 80/tcp 和 443/tcp 转发到 Rancher 管理集群节点。集群上的 Ingress Controller 会将端口 80 上的 http 通信重定向到端口 443 上的 https。

您可以在 Rancher 集群（ingress）外部的 L7 负载均衡器上终止 SSL/TLS。使用--set tls=external选项，将负载均衡器指向所有 Rancher 集群节点上的端口 http 80。这将在 http 端口 80 上公开 Rancher 接口。请注意，允许直接连接到 Rancher 集群的客户端将不会被加密。如果您选择这样做，我们建议您将网络级别上的直接访问限制为仅用于您的负载均衡器。

注意事项: 如果您使用的是专用 CA 签名的证书，请添加--set privateCA=true并参阅添加 TLS 密文 - 使用私有的 CA 签名证书来完成给 Rancher 添加 CA 证书。

您的负载均衡器必须支持长期存在的 Websocket 连接，并且需要插入代理标头，以便 Rancher 可以正确路由链接。

使用 NGINX v0.25 为外部 TLS 配置 Ingress

在 NGINX v0.25 中，关于转发头和外部 TLS Termination，NGINX 的行为已更改。因此，在将外部 TLS Termination 配置与 NGINX v0.25 结合使用的情况下，必须编辑cluster.yml来启用用于 ingress 的use-forwarded-headers选项:

ingress:
  provider: nginx
  options:
    use-forwarded-headers: "true"

Headers

• Host
• X-Forwarded-Proto
• X-Forwarded-Port
• X-Forwarded-For

建议的超时时间

• Read Timeout: 1800 seconds
• Write Timeout: 1800 seconds
• Connect Timeout: 30 seconds

健康检查

Rancher 将对/healthz端点上的健康检查响应200。

NGINX 配置示例

此 NGINX 配置已在 NGINX 1.14 上进行了测试。

注意事项: 此 NGINX 配置只是一个示例，可能不适合您的环境。完整文档请参阅NGINX 负载均衡 - HTTP 负载均衡。

• 将IP_NODE1，IP_NODE2和IP_NODE3替换为集群中节点的 IP 地址。
• 将两个出现的FQDN替换为 Rancher 的 DNS 名称。
• 将/certs/fullchain.pem和/certs/privkey.pem分别替换为服务器证书和服务器证书密钥的位置。

worker_processes 4;
worker_rlimit_nofile 40000;
events {
    worker_connections 8192;
}
http {
    upstream rancher {
        server IP_NODE_1:80;
        server IP_NODE_2:80;
        server IP_NODE_3:80;
    }
    map $http_upgrade $connection_upgrade {
        default Upgrade;
        ''      close;
    }
    server {
        listen 443 ssl http2;
        server_name FQDN;
        ssl_certificate /certs/fullchain.pem;
        ssl_certificate_key /certs/privkey.pem;
        location / {
            proxy_set_header Host $host;
            proxy_set_header X-Forwarded-Proto $scheme;
            proxy_set_header X-Forwarded-Port $server_port;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_pass http://rancher;
            proxy_http_version 1.1;
            proxy_set_header Upgrade $http_upgrade;
            proxy_set_header Connection $connection_upgrade;
            # This allows the ability for the execute shell window to remain open for up to 15 minutes. Without this parameter, the default is 1 minute and will automatically close.
            proxy_read_timeout 900s;
            proxy_buffering off;
        }
    }
    server {
        listen 80;
        server_name FQDN;
        return 301 https://$server_name$request_uri;
    }
}