CentOS 上部署 Jenkins 的安全加固清单
一 环境准备与最小化安装
- 保持系统基线安全：执行 yum update -y，仅安装必要软件，减少攻击面。
- 使用受支持的 Java 11（或更高版本），验证版本：java -version。
- 安装与启动 Jenkins（以 systemd 为例）：
- 添加仓库并导入 GPG 后安装：sudo yum install jenkins -y
- 开机自启：sudo systemctl enable --now jenkins
- 运行用户与目录：默认以 jenkins 用户运行，主目录 /var/lib/jenkins，日志 /var/log/jenkins/jenkins.log；避免以 root 直接运行 Jenkins 进程。
二 网络与端口加固
- 防火墙仅放通必要流量：
- 放通 HTTP/HTTPS：sudo firewall-cmd --permanent --add-service=http && sudo firewall-cmd --permanent --add-service=https && sudo firewall-cmd --reload
- 如暂用 HTTP 直连管理端口：sudo firewall-cmd --permanent --add-port=8080/tcp && sudo firewall-cmd --reload
- 更改默认管理端口（可选）：编辑 /etc/sysconfig/jenkins，设置 JENKINS_PORT=8081（示例），重启服务生效。
- 代理与反向代理：建议前置 Nginx/Apache 终止 TLS，对外仅暴露 443，内部 8080/8081 不直连公网。
- 节点通信端口：如不通过 JNLP 代理连接，禁用 TCP 50000 监听；若使用，限制来源 IP 并在防火墙层控制。
三 身份认证与访问控制
- 解锁后立刻启用安全：进入 Manage Jenkins → Security，勾选 Enable security。
- 安全域与授权：
- 使用 Jenkins 数据库 或企业 LDAP/SSO 作为安全域。
- 授权策略建议：先 Logged-in users can do anything，随后细化到 Matrix-based security，遵循最小权限原则。
- 强口令与账户治理：
- 创建首个管理员并设置强密码；禁用或删除默认/演示账户。
- 如采用系统账户运行，确保系统账户口令符合复杂度要求（长度≥10，包含大小写字母、数字与特殊字符）。
- 会话与 CSRF：
- 启用 CSRF 保护；配置会话超时并启用登出。
- 可选：设置 TMOUT=300（在 /etc/profile 或相应 profile 中）自动终止空闲 root 会话，降低控制台被长期占用风险。
四 数据安全与凭据管理
- 全站加密：为管理界面启用 HTTPS（优先通过反向代理或负载均衡终止 TLS），避免凭据与构建信息明文传输。
- 凭据集中与脱敏：
- 使用 Credentials Binding 插件管理密钥、令牌与证书，避免在 Job 配置中明文存放。
- 定期轮换凭据，限制凭据作用域与权限。
- 备份与恢复：
- 定期备份 JENKINS_HOME（/var/lib/jenkins） 与关键配置；可使用脚本结合 cron 执行，确保包含 jobs/、secrets/、config.xml 等目录与文件。
- 文件与目录防护：
- 限制 /var/lib/jenkins 与 /var/log/jenkins 的访问权限，仅 jenkins 用户与必要的管理员可访问。
- 谨慎使用 chattr +i 等不可变属性，仅在明确变更流程的前提下使用，避免影响升级与备份。
五 运行环境与插件维护
- 持续更新：
- 及时更新 Jenkins 核心 与 插件，修复已知漏洞；变更前在测试环境验证。
- 关注安全公告，必要时临时下线高风险插件。
- 日志与审计：
- 定期检查 /var/log/jenkins/jenkins.log，对失败登录、权限变更、节点注册等事件建立告警与审计流程。
- 构建环境隔离：
- 构建代理遵循最小权限；避免在 Jenkins master 上直接执行不受信代码。
- 如需使用容器/云资源，遵循最小权限与镜像安全基线，凭据通过凭据插件注入。