Jenkins在Linux上的安全设置是什么

Jenkins在Linux上的安全设置清单

一 系统与服务加固

• 运行身份与最小权限：确认服务以jenkins用户运行，避免使用root；必要时通过sudo精细化授权，仅授予部署所需命令的最小权限。
• 端口与访问控制：仅开放必要端口，默认8080（Web）与50000（Agent通信）；使用firewalld/ufw限制来源IP，避免对公网全开放。
• 传输加密：优先通过Nginx/Apache反向代理启用HTTPS/TLS，对外只暴露80/443，将8080仅监听本地回环。
• 系统与登录安全：保持系统与安全补丁更新；限制或禁用不必要的系统账户与特权操作；为SSH设置强认证策略与超时退出。

二 Jenkins身份认证与授权

• 启用安全与CSRF：在“Manage Jenkins → Configure Global Security”启用安全，开启CSRF Protection，避免跨站请求伪造。
• 认证方式：优先对接企业LDAP/AD或OAuth等集中认证；小规模可保留内置用户库但务必启用强密码策略。
• 授权模型：采用Role-based Authorization Strategy或Matrix Authorization Strategy实施RBAC，按“全局/项目/代理”粒度分配权限，遵循最小权限原则。

三 凭证与流水线安全

• 集中凭证管理：所有密码、API Key、SSH私钥统一存入Jenkins“凭证”，严禁硬编码到Jenkinsfile或脚本。
• 安全注入：在流水线使用withCredentials绑定凭证到环境变量，构建结束自动清理；为不同环境使用不同凭证并定期轮换。
• 凭据使用规范：避免在日志中打印敏感信息；限制能使用高权限凭证的项目与人员范围。

四 网络安全与代理配置

• 反向代理与头部：通过Nginx/Apache终止TLS，转发到http://127.0.0.1:8080；正确设置Host、X-Real-IP、X-Forwarded-For、X-Forwarded-Proto，确保应用识别HTTPS与真实来源。
• 防火墙策略：仅放行80/443（或自定义的代理端口）与必要的50000（Agent）；对管理口设置来源白名单。
• 端口变更与收敛：如修改默认8080，同步调整代理与防火墙规则，减少暴露面。

五 维护与审计

• 更新与清理：定期更新Jenkins核心与插件，移除不再使用的插件与任务，降低攻击面。
• 备份与恢复：对**$JENKINS_HOME**（如**/var/lib/jenkins**）进行定期备份（如每日/每周），并验证可恢复性。
• 日志与监控：启用并集中采集系统日志与Jenkins日志，对登录、权限变更、凭证使用、节点上线等事件设置告警。