如何确保Linux Jenkins安全

Linux 上加固 Jenkins 的安全清单

一 身份与授权

• 启用并强制登录：在管理 Jenkins → 配置全局安全中开启安全，禁用匿名访问；如使用内置用户库，确保从Jenkins 2.214 / LTS 2.222.1起默认即为安全领域。
• 集中认证优先：对接LDAP/OAuth/SAML等统一身份源，统一口令策略与账号生命周期管理。
• 细粒度授权：采用Role-Based Authorization Strategy或Matrix/Project-based Matrix，按“全局/代理/任务/视图/SCM/凭据”粒度分配权限，遵循最小权限原则；示例：为团队 A/B 创建前缀匹配的项目角色，仅授予Job/Build、Job/Read、Job/Configure、Job/Cancel等必要权限。
• 审计可追溯：为每个成员创建个人账号，避免共享账号，便于操作留痕与问责。

二 通信、网络与系统加固

• 全站加密：通过Nginx/Apache 反向代理启用HTTPS/TLS，设置HSTS，对外仅暴露80/443，将 Jenkins 监听在127.0.0.1:8080或内网地址。
• 边界防护：使用ufw/firewalld仅放行必要端口（如22/80/443），对管理口与构建节点网络实施白名单与网络隔离。
• 主机加固：及时打Linux 补丁，禁用不必要的服务/端口/内核模块，为SSH启用密钥登录并禁用root 远程登录，限制sudo使用范围。
• 备份与恢复：定期备份JENKINS_HOME（含作业配置、构建日志、插件配置、凭据），验证可恢复性并保留离线副本。

三 构建环境与凭据安全

• 控制器最小化：将内置节点 Executors 设为 0，或在“Usage”选择Only build jobs with label expressions matching this node，让构建仅在代理执行，降低对JENKINS_HOME与系统文件的访问面。
• 代理隔离：按项目/团队划分代理，必要时使用容器化代理或受限的chroot/jail环境，避免共享敏感主机路径。
• 凭据治理：使用Jenkins Credentials安全存储密码、API Key、SSH 私钥等；在流水线中用withCredentials注入，严禁硬编码；定期轮换与最小权限托管。
• 最小权限执行：代理以低权限系统用户运行，按需挂载工作区与部署目标目录，避免赋予Docker/root等高危权限。

四 插件、更新与持续监测

• 及时更新：保持Jenkins 核心与插件为最新稳定版，优先修复安全公告中的问题；移除不再使用的插件，降低攻击面。
• 插件安全：仅安装官方/活跃维护的插件，关注插件签名与更新频率，避免来源不明的第三方插件。
• 安全测试集成：在流水线中集成OWASP Dependency-Check（依赖漏洞）、SonarQube（代码质量/安全）、Fortify/Checkmarx（静态扫描）、OWASP ZAP（动态扫描）等，形成DevSecOps闭环。
• 日志与监控：启用审计日志与系统日志，结合Prometheus/Grafana监控队列、执行时长、失败率等，设置告警；定期做配置审计与漏洞扫描。

五 关键配置示例

• 禁止控制器构建（内置节点）
  管理 Jenkins → 管理节点和云 → 选择Built-In Node → 将Number of executors设为0，或在Usage选择Only build jobs with label expressions matching this node。
• 基于角色的访问控制（RBAC）
  安装Role-based Authorization Strategy → 管理 Jenkins → 配置全局安全 → 授权策略选择Role-Based Strategy → 进入Manage and Assign Roles：
  • 全局角色：如admin-role（Overall/Administer）、read-only-role（Overall/Read）、ops-role（Overall/Read、Job/Read、Job/Configure、Agent/…）。
  • 项目角色：如team-a-dev，Pattern 填team-a-.*，授予Job/Build、Job/Read、Job/Configure、Job/Cancel。
  • 分配角色：将dev-a1/dev-a2分配给team-a-dev，ops分配ops-role与read-only-role。
• 反向代理 HTTPS（Nginx 简化示例）
  将证书配置到 Nginx，反向代理到http://127.0.0.1:8080，并设置X-Forwarded-Proto $scheme，确保 Jenkins 识别HTTPS。