【Release】Rancher v2.15.3 正式发布！

新版本发布
1

Release v2.15.3

[!IMPORTANT]

  • 如果你正在使用 Active Directory Federation Service (AD FS)，升级到 Rancher v2.10.1 或更高版本后，身份认证可能会出现问题并需要手动处理。原因是 AD FS Relying Party Trust 无法从 metadata 中获取签名验证证书。更多信息请参见 #48655。可通过以下任一方式修复：

    • 从 federation metadata 更新 Relying Party Trust 信息（Relying Party Trust → Update from Federation Metadata…）。

    • 直接添加证书（Relying Party Trust → Properties → Signature tab → Add → Select the certificate）。

Rancher v2.15.3 是 Rancher 的最新补丁版本。这是一个 Community 版本，包含维护更新和问题修复。

关于该 Minor 版本中新功能的更多信息，请参见 v2.15.0 release notes。

Security Fixes for Vulnerabilities

此版本修复了以下安全问题：

Rancher

  • 修复了 Rancher meta proxy endpoint 中的安全漏洞：目标 allowlist 在无法阻止请求被转发的位置进行校验。已认证用户可能导致 Rancher server 向 allowlist 本应阻止的内部服务发送请求并接收响应。现在 allowlist 会在 request handler 中强制执行，在建立任何连接前拒绝不允许的目标。更多信息请参见 CVE-2026-88809。
  • 修复了 Rancher RBAC 校验中的安全漏洞：GlobalRole 的 inheritedNamespacedRules 字段未检查权限提升。拥有管理 global roles 和 global role bindings 委派权限的用户，可能在 downstream clusters 中授予超出自身权限的权限。GlobalRole 和 GlobalRoleBinding admission webhooks 现在会像校验其他承载权限字段一样校验该字段。更多信息请参见 CVE-2026-88810。
  • 修复了 Rancher Manager meta proxy 中的安全漏洞：调用者自身的 Rancher 凭据未始终从转发到第三方云提供商主机的请求中移除。登录用户在普通使用 provisioning views 时，其 session credential 可能被发送给云提供商；API client 在省略 proxy credential selection headers 时，其 Rancher token 也可能被发送。现在 proxy 会在所有请求路径上移除调用者凭据。更多信息请参见 CVE-2026-88811。
  • 修复了 Rancher 中的安全漏洞：保护 local cluster shell 的 authorization check 未应用于所有可能访问它的 API route。任何已认证用户，包括对 local cluster 没有权限的用户，都可能在 management cluster 上获取一个非特权 shell pod，从而破坏 management plane 的预期隔离。现在所有请求形式都会一致执行 authorization check。更多信息请参见 CVE-2026-104623。

Fleet

  • 修复了 Fleet agent management controller 中的权限提升漏洞：普通用户创建的 Fleet cluster object 可能引用 Rancher management (local) cluster 的管理凭据。这允许仅持有默认 user global role、且对 local cluster 没有权限的已认证用户，在 Rancher management cluster 上获得 cluster-admin 权限，并进一步影响所有 managed clusters。Fleet 现在只在 secret 被标记为可供引用 namespace 使用时，才接受另一个 namespace 中的 kubeconfig secret，并且只会为自身 system clusters 在 management cluster 上部署 agents。更多信息请参见 CVE-2026-94290。
  • 修复了 Fleet 中的安全漏洞：cluster registration 期间声明的 cluster identity 未与请求使用的 registration token 绑定。持有有效 workspace registration token 的人，如果知道另一个 cluster 的 client identifier，可能获得该 cluster 的 Fleet management namespace 凭据并干扰其合法 agent。Fleet 现在会记录 cluster 注册时使用的 registration token，并拒绝使用不同 token 声明相同 cluster identity 的注册请求。更多信息请参见 CVE-2026-104615。

更多细节请参见 Rancher documentation 中的 Security Advisories and CVEs 页面，或 Rancher GitHub repository。

Rancher general

Major bug fixes

  • 修复了使用环境变量配置 Rancher settings 后，在环境变量被移除时 settings 仍保留过期值和 source: env 属性的问题。现在当环境变量被移除时，Rancher 会在启动时清除已存储的环境变量来源和值，然后该 setting 会回退到默认值。参见 #58075。

Cluster provisioning

Major bug fixes

  • 修复了升级 Rancher 后 imported clusters 可能变为不可用的问题：如果 cluster agent 在 registration token 迁移前被重新部署，agent 会拿到空 token。参见 #58028。

  • 修复了使用 S3 etcd snapshots 的 provisioned clusters 在删除期间可能一直卡住的问题。参见 #57506。

Changes Since v2.15.2

完整变更列表请参见 changes。

Install/Upgrade Notes

如果你是首次安装 Rancher，环境必须满足 installation requirements。

[!IMPORTANT]

  • Rancher 现在要求其运行所在 cluster 启用 Kubernetes API Aggregation Layer。这是因为 Rancher 通过注册自己的 extension API server 来扩展 Kubernetes API。请注意，当前 Rancher 版本支持的所有 Kubernetes 版本对应的 K8s distributions（RKE2/K3s）默认都会配置并启用 aggregation layer。

  • Rancher Kubernetes Engine (RKE/RKE1) 已于 2025 年 7 月 31 日结束生命周期。Rancher 2.12.0 及更高版本不再支持 provision 或管理 downstream RKE1 clusters。建议将 RKE1 clusters 迁移到 RKE2，以确保继续获得支持和安全更新。了解迁移详情请参见这里。

    • Rancher 现在包含针对 RKE1 resources 的升级前校验；如果存在 RKE1 resources，该校验会失败并列出相关资源。更多信息请参见 #50286。

  • 升级到 Rancher v2.12.0 及更高版本前，请务必检查 nodes 上的可用磁盘空间并提前规划，以避免潜在的 disk pressure 和 pod eviction 问题。

  • Rancher 现在为 Rancher 安装的 API Audit Logs 提供名为 AUDIT_LOG_ENABLED 的启用选项。

    • 在 Rancher 2.11.x 及更早版本中，只能设置 AUDIT_LEVEL，且默认日志级别 (0) 会禁用 audit log。在 Rancher 2.12.x 及更高版本中，默认日志级别 (0) 现在只包含请求和响应 metadata，并可在配置 AUDIT_LOG_ENABLED 时设置。如果通过 Helm 安装或升级，可以在 Helm 命令中应用以下设置以启用 API Audit Logs 并指定日志级别：--set auditLog.enabled=true --set auditLog.level=0。参见 Enabling the API Audit Log to Record System Events 文档和 #48941。

Changes in Image Artifacts

Rancher v2.12.0、v2.11.4 和 v2.10.8 中重命名了 image artifact digests。在此变更之前，为兼容性分别维护了每个操作系统和架构的独立 image digests 文件。此变更后，每个操作系统只提供一个文件：

  • rancher-images-digests-linux-amd64.txt 和 rancher-images-digests-linux-arm64.txt 文件将重命名为 rancher-images-digests-linux.txt。

  • rancher-images-digests-windows-ltsc2019.txt 和 rancher-images-digests-windows-ltsc2022.txt 文件将重命名为 rancher-images-digests-windows.txt。

Upgrade Requirements

  • 创建备份： 升级 Rancher 前请创建备份。升级后如果需要回滚 Rancher，必须先备份并将 Rancher 恢复到之前的版本。由于恢复后的 Rancher 状态与创建备份时一致，升级后的任何变更都不会包含在恢复结果中。

  • Helm 版本要求：

    • 管理 Rancher 2.12.x 及更高版本时，必须将 Helm client 升级到 3.18 或更新版本。

    • 此变更是为了反映本版本新增 Kubernetes 1.33 支持。

    • 当前官方 Helm Version Support Policy 规定，只有 Helm 3.18 支持 Rancher 2.12 所需的 Kubernetes 版本范围。

  • CNI 要求：

    • 对于 Kubernetes v1.19 及更高版本，请禁用 firewalld，因为它与多种 CNI plugins 不兼容。参见 #28840。

    • 当升级或安装使用 nf_tables 作为 packet filter 后端的 Linux distribution（如 SLES 15、RHEL 8、Ubuntu 20.10、Debian 10 或更高版本）时，请升级到 RKE v1.19.2 或更高版本以获取 Flannel v0.13.0。Flannel v0.13.0 支持 nf_tables。参见 Flannel #1317。

  • Air-gapped 环境要求：

    • 在 air-gapped Rancher instance 前使用 proxy 时，必须向 NO_PROXY 传递额外参数。参见 documentation 和 issue #2725。

    • 在 air-gapped 环境中使用 Docker 安装 Rancher 时，必须为 docker run 命令提供自定义 registries.yaml 文件，如 K3s documentation 所示。如果 registry 带有证书，还需要一并提供。参见 #28969。

Versions

Images

  • rancher/rancher:v2.15.3

Tools

Kubernetes Versions for RKE2/K3s

  • v1.36.5 (Default)

  • v1.35.9

  • v1.34.12

Rancher Helm Chart Versions

在 Rancher v2.6.0 及更高版本中，在 Apps & Marketplace UI 中，许多 Rancher Helm charts 的 major version 以 100 开头。这可以避免 upstream 变更和 Rancher 变更同时发生时造成版本号冲突，同时也符合 Helm 所要求的 semantic versioning (SemVer)。你可以在 build metadata 中看到 chart 的 upstream version number，例如：100.0.0+up2.1.0。参见 #32294。

Previous Rancher Behavior Changes

Previous Rancher Behavior Changes - Rancher General

  • Rancher v2.15.0:

    • Rancher v2.15 移除了对 Kubernetes v1.33 的支持。参见 #55306。

Previous Rancher Behavior Changes Changes - Rancher App (Global UI)

  • Rancher v2.15.0:

    • Rancher UI 中用于禁用 ui-sql-cache / Vai / Server-Side Pagination (SSP) 的 feature flag 选项已被移除，为 Rancher v2.16 中始终启用该功能做准备。参见 #16822。

    • 移除：Rancher v2.15.0 移除了对集群和节点驱动 Ember-based UI plugins 的支持（该能力自 Rancher v2.11.0 起已弃用）。请将你的 plugins 迁移到 UI Extensions Framework。详情参见 #14005。

Previous Rancher Behavior Changes - K3s and RKE2 Provision

  • Rancher v2.15.0:

    • 默认情况下，Standard User 和 Create Clusters global permissions 现在允许在 fleet-default namespace 中创建并更新 CAPI infrastructure objects。请注意，手动创建的、目标为 fleet-default namespace 的 infrastructure provider identity objects（如 AWSClusterStaticIdentity 或 VSphereClusterIdentity），可通过 CAPI infrastructure objects（如 AWSCluster 或 VsphereCluster）使用。参见 #53777。

    • 使用 native CAPI infrastructure providers 与 v2prov 时，Rancher 现在会以 Jinja format 生成 bootstrap cloud-config。常规 node drivers 的 user-data 与 v2prov 不受影响。参见 #53777。

Previous Rancher Behavior Changes - Continuous Delivery (Fleet)

  • Rancher v2.15.0:

    • 弃用：Fleet 将在未来版本中移除对 GitRepoRestriction 的支持，届时使用 Policy resource 配置 multi-tenant environments 将成为唯一选项。参见 #55652。

    • 弃用：Fleet 将在未来版本中移除对 unauthenticated webhook calls 的支持，届时配置 webhook secret 将成为唯一选项。参见 #55633。

Long-standing Known Issues

Long-standing Known Issues - Cluster Provisioning

  • Rancher v2.15.1:

    • 从 UI 创建或编辑带有 native CAPI infrastructure providers 的 v2prov clusters 时，在某些失败条件下可能会在 management cluster 中留下未使用的 infrastructure resources，需要手动清理。参见 #55705。

  • Rancher v2.15.0:

    • 如果 imported clusters 在断开连接期间轮换了 registration token，且 grace period 在其重新连接前结束，则这些 clusters 可能无法重新连接到 Rancher。cluster agent 日志会显示 400 Bad Request，响应体为 cluster not found。解决方法是在 downstream cluster 的 Registration tab 中重新运行 registration command。为避免该问题，可增加 crt-default-grace-period-minutes setting 以覆盖预期停机时间，或禁用 crt-token-ttl-rotation feature flag。参见 #57078。

  • 并非所有 cluster tools 都能安装在 hardened cluster 上。

  • Rancher v2.8.1:

    • 在 CAPR-managed cluster 的 etcd snapshot restore 失败后，如果尝试注册新的 etcd/controlplane node，该 node 可能陷入持续 paused 状态，并显示错误 [ERROR] 000 received while downloading Rancher connection information. Sleeping for 5 seconds and trying again。解决方法是运行 kubectl edit clusters.cluster clustername -n fleet-default 编辑 cluster，并将 spec.unpaused 设置为 false。参见 #43735。

Long-standing Known Issues - RKE2 Provisioning

  • Rancher v2.7.7:

    • 由于多个组件中的 backoff 逻辑，downstream provisioned K3s 和 RKE2 clusters 在迁移后可能需要更长时间才能重新达到 Active 状态。如果迁移后立即看到 downstream cluster 仍处于 updating 或 error 状态，请让其自行尝试恢复，可能需要最多一小时。参见 #42834。

  • Rancher v2.7.6:

    • 使用新增（非内置）custom node drivers provision RKE2/K3s clusters 会导致 provisioning 失败。解决方法是在激活后修复新增的 node drivers。参见 #37074。

Long-standing Known Issues - K3s Provisioning

  • Rancher v2.7.6:

    • 使用新增（非内置）custom node drivers provision RKE2/K3s clusters 会导致 provisioning 失败。解决方法是在激活后修复新增的 node drivers。参见 #37074。

  • Rancher v2.7.2:

    • 即使 clusters 中包含处于 Error 状态的 nodes，clusters 也会保持 Updating 状态。参见 #39164。

Long-standing Known Issues - Rancher App (Global UI)

  • Rancher v2.10.0:

    • 在 Rancher UI 中删除 Namespace 或 Project 后，该 Namespace 或 Project 仍会显示。解决方法是刷新页面。参见 #12220。

  • Rancher v2.9.2:

    • 虽然 system mode node pools 至少必须有一个 node，但 Rancher UI 允许最小 node count 为 0。通过 UI 输入 0 作为最小 node count 可能因参数无效导致 cluster 创建失败。为避免该错误，请输入至少等于 node count 的最小 node count。参见 #11922。

  • Rancher v2.7.7:

    • 在 Rancher UI 中创建 cluster 时，Cluster Name 字段不允许使用下划线 _。参见 #9416。

  • Rancher v2.6.4:

    • 新建 workload 时缺少 Deployment securityContext section。当启用 Pod Security Policy Support 时，这会阻止 pods 启动。参见 #4815。

Long-standing Known Issues - EKS

  • Rancher v2.7.0:

    • 在 Rancher v2.7 上，Kubernetes v1.21 或更低版本的 EKS clusters 无法升级。参见 #39392。

Long-standing Known Issues - Authentication

  • Rancher v2.9.0:

    • OpenID Connect provider 支持存在一些已知问题：

      • 启用 generic OIDC auth provider 后，在尝试将 auth provider users 添加到 cluster 或 project 时，users 不会出现在 dropdown search bar 中。这是预期行为，因为仅 OIDC auth provider 本身不可搜索。参见 #46104。

      • 启用 generic OIDC auth provider 后，通过 username 添加到 cluster/project 的 auth provider users 登录后可能无法访问资源。只有使用 userID 添加用户时，该用户登录后才会拥有资源访问权限。参见 #46105。

      • 启用 generic OIDC auth provider 且嵌套组中的 auth provider user 登录 Rancher 后，在尝试创建 Project 时会看到如下错误：projectroletemplatebindings.management.cattle.io is forbidden: User "u-gcxatwsnku" cannot create resource "projectroletemplatebindings" in API group "management.cattle.io" in the namespace "p-9t5pg"。不过 Project 仍会被创建。参见 #46106。

Long-standing Known Issues - Rancher Webhook

  • Rancher v2.7.2:

    • webhook 会安装到所有 downstream clusters。用户可能遇到以下问题：

      • 如果从 Rancher v2.7.2 或更高版本回滚到早于 v2.7.2 的 Rancher 版本，webhooks 会保留在 downstream clusters 中。由于 webhook 设计为与特定 Rancher 版本 1:1 兼容，这可能导致 downstream 出现异常行为。Rancher 团队开发了一个脚本，应在回滚完成后（即早于 v2.7.2 的 Rancher 版本运行后）使用，以从受影响的 downstream clusters 中移除 webhook。参见 #40816。

Long-standing Known Issues - Virtualization Management (Harvester)

  • Rancher v2.13.1:

    • 使用 Harvester v1.6.1 并升级到 Rancher v2.13.1 或更高版本时，用户可能会遇到 downstream clusters 中使用 Harvester Cloud Provider 的 Load Balancers 问题，必须执行以下解决方法，指示 Calico 不使用由 kube-vip 管理的 IP/interface。参见 #9767。

  • Rancher v2.7.2:

    • 如果使用 Rancher v2.7.2 管理 Harvester v1.1.1 clusters，在部署或更新 guest clusters 时将无法选择 Harvester cloud provider。Harvester release notes 中包含解决该问题的说明。参见 #3750。

Long-standing Known Issues - Backup/Restore

  • 使用 Rancher Backup feature 迁移到新 cluster 时，server-url 不能改为其他位置，必须继续使用同一个 URL。

  • Rancher v2.13.0:

    • 使用 backup and restore operator (BRO) 从 Rancher v2.13.0 回滚到 v2.12.3 时，restore 无法成功完成。参见 #844。解决方法是在执行 restore 前 scale down Rancher deployment 并卸载 Webhook chart。详情请参见此 Knowledge Base article。

  • Rancher v2.7.7:

    • 由于多个组件中的 backoff 逻辑，downstream provisioned K3s 和 RKE2 clusters 在迁移后可能需要更长时间才能重新达到 Active 状态。如果迁移后立即看到 downstream cluster 仍处于 updating 或 error 状态，请让其自行尝试恢复，可能需要最多一小时。参见 #42834。

原文发布地址: rancher/rancher v2.15.3