Rancher 2.6.7 初始化后如何获取Bootstrap密码？

Question

在Rancher 2.6.7初始化部署后，首次登录需要Bootstrap密码。该密码由系统自动生成并存储于rancher-system-agent命名空间中的secret资源内。常见问题是用户无法通过kubectl获取该密码，原因多为未正确查找名为bootstrap-secret的Secret对象。正确操作应执行：`kubectl get secret -n cattle-system bootstrap-secret -o go-template='{{.data.bootstrapPassword|base64decode}}'`。若提示资源不存在，可能是Rancher尚未完成初始化或部署异常。需检查rancher-server Pod状态及日志以确认服务是否正常运行。

Answer 1

一、Rancher 2.6.7 初始化部署后的 Bootstrap 密码获取机制

Rancher 是一个广泛使用的 Kubernetes 管理平台，其 2.6.7 版本在首次部署后会进入初始化流程。该流程中系统自动生成一个临时的 Bootstrap 密码，用于首次登录 Rancher UI 并设置管理员账户。

此密码由 rancher-system-agent 组件触发生成，并存储于 cattle-system 命名空间下的名为 bootstrap-secret 的 Secret 资源中。需要注意的是，尽管部分文档提及 rancher-system-agent 命名空间，但实际存储位置为 cattle-system，这是常见误解的根源之一。

1.1 正确获取 Bootstrap 密码的命令

要从 Kubernetes 集群中提取该密码，必须使用以下 kubectl 命令：

kubectl get secret -n cattle-system bootstrap-secret -o go-template='{{.data.bootstrapPassword|base64decode}}'

该命令通过 Go 模板语法解析 Secret 中的 base64 编码字段 bootstrapPassword，并自动解码输出明文密码。

1.2 常见错误与排查路径

• 错误命名空间：误用 -n rancher-system-agent 导致找不到资源。
• 资源不存在：执行命令返回 secrets "bootstrap-secret" not found。
• 权限不足：当前 kubeconfig 用户无权访问 cattle-system 命名空间。
• 集群网络异常：Pod 间通信受阻，导致初始化流程中断。

二、深入分析 Rancher 初始化流程与组件协作

Rancher 的启动依赖多个核心组件协同工作。理解这些组件有助于定位为何 bootstrap-secret 未生成。

组件名称	作用	关联命名空间
rancher-server Pod	主服务进程，负责生成 bootstrap-secret	cattle-system
rancher-system-agent	节点级代理，协助初始化（仅在 RKE2 场景）	默认命名空间
cattle-node-agent	集群注册代理	cattle-system
cert-manager	签发内部 TLS 证书	cert-manager

2.1 初始化状态判断标准

可通过检查 rancher-server Pod 的运行状态和日志来确认是否完成初始化阶段：

kubectl get pods -n cattle-system
kubectl logs -n cattle-system <rancher-pod-name> | grep -i bootstrap

若日志中出现类似 Bootstrap password written to /var/lib/rancher/management-state/bootstrap-secret/password 表示已生成。

三、系统性故障排查流程图

当无法获取密码时，建议按照以下流程进行诊断：

graph TD
            A[尝试获取 bootstrap-secret] --> B{是否存在?}
            B -- 否 --> C[检查 cattle-system 命名空间下所有 Pod]
            B -- 是 --> D[成功获取密码]
            C --> E[查看 rancher-server Pod 状态]
            E --> F{Running?}
            F -- 否 --> G[检查镜像拉取、资源限制、节点调度]
            F -- 是 --> H[查看日志是否报错]
            H --> I[关注 cert-manager、数据库连接、storage-class 是否就绪]
            I --> J[修复依赖问题后重启 Pod]
            J --> K[重新检查 bootstrap-secret]

四、高级场景与最佳实践

对于拥有 5 年以上经验的 DevOps 工程师或 SRE 团队，应考虑如下扩展场景：

1. 在离线环境中部署 Rancher 时，需预加载镜像并确保 local-path-provisioner 可用以支持持久化存储。
2. 若使用外部 PostgreSQL 替代嵌入式数据库，需验证连接字符串正确性，否则初始化将挂起。
3. 启用 CIS 模式或 FIPS 加密标准可能影响 Secret 生成逻辑，需参考官方兼容性矩阵。
4. 自动化脚本中可加入轮询机制等待 bootstrap-secret 出现，避免人工干预。
5. 定期审计 cattle-system 命名空间资源变化，防止第三方 Operator 干扰。
6. 利用 kubectl wait 实现条件等待：

kubectl wait --for=condition=Available -n cattle-system deployment/rancher --timeout=300s

此命令可确保在尝试获取密码前，Rancher 主服务已进入可用状态。