全局权限

在创建新本地用户时，请在填写添加用户表单时为他分配全局权限。

如果需要查看新用户的默认权限：

你可以更改默认全局权限来满足你的需要

当用户首次使用外部认证登录 Rancher 时，他们会自动分配到新用户的默认角色的全局权限。默认情况下，Rancher 为新用户分配 Standard User 权限。

如果需要查看新用户的默认权限：

你可以更改默认权限来满足你的需要

你可以按照步骤操作来将权限分配给单个用户。

如果外部认证服务支持组，你可以同时为组中的每个成员分配角色。

Rancher 提供了多个全局角色，它们为某些常见的用户场景授予了精细的权限。下表列出了每个内置的全局角色（Administrator, Standard User 和 User-Base）以及它包含的默认全局权限

如果需要查看每个全局权限对应哪些 Kubernetes 资源：

当内置的全局角色无法直接满足你的需求时，可以创建自定义全局角色。

通过 UI 或自动化（例如 Rancher Kubernetes API） 创建自定义全局角色，你可以指定使用与上游角色和集群角色相同的规则。

如果你想限制新用户的默认权限，你可以删除作为默认角色的用户权限，然后分配多个单独的权限作为默认权限。你也可以在一组其他标准权限之上添加管理权限。

要更改在外部用户首次登录时分配给他们的默认全局权限，请执行以下步骤：

结果：默认全局权限已根据你的更改配置。分配给新用户的权限会在新用户的默认角色列中显示为复选标记。

要为单个用户配置权限：

结果：用户的全局权限已更新。

如果你有一组需要在 Rancher 中有相同访问权限的用户，你可以一次性将权限分配给整个组来节省时间。这样，组中的用户在第一次登录 Rancher 时能拥有相应级别的访问权限。

将自定义全局角色分配给组后，该角色将在组中用户登录 Rancher 时分配给用户。

对于现有用户，新权限将在用户退出 Rancher 并重新登录时，或当管理员刷新用户组成员名单时生效。

对于新用户，新权限在用户首次登录 Rancher 时生效。除了新用户的默认角色全局权限外，来自该组的新用户还将获得自定义全局角色的权限。默认情况下，新用户的默认角色权限等同于 Standard User 全局角色，但默认权限可以配置。

如果从外部认证服务中将用户从组中删除，该用户将失去分配给该组的自定义全局角色的权限。他们将继续拥有分配给他们的其他剩余角色，这通常包括标记为新用户的默认角色的角色。Rancher 将在用户登出或管理员刷新用户组成员名单时删除与组关联的权限。

要将自定义全局角色分配给组，请执行以下步骤：

结果：自定义全局角色会在组内用户登录 Rancher 时生效。

当管理员更新组的全局权限时，更改将在组成员退出 Rancher 并重新登录后生效。

如果要让更改立即生效，管理员或集群所有者可以刷新用户组成员名单。

如果用户已经从外部认证服务中的组中删除，管理员也需要刷新用户组成员名单。在这种情况下，刷新操作会让 Rancher 知道用户已从组中删除。

要刷新用户组成员名单：

结果：对组成员权限的所有更改都会生效。

下表列出了 受限管理员 与 全局管理员 和 普通用户 角色相比应具有的权限和操作：

在之前的版本中，文档建议如果管理员角色正在使用中，应将所有用户都更改为受限管理员。现在鼓励用户使用集群权限的功能构建自定义的全局角色，并将受限管理员迁移到新的自定义角色使用。

你可以前往安全  用户，并将所有管理员角色转为受限管理员。

已登录的用户可以根据需要将自己更改为 restricted-admin，但这应该是他们的最后一步操作，否则他们将没有进行该操作的权限。