Jenkins于Linux如何安全配置

Jenkins在Linux上的安全配置清单

一 基础加固与网络边界

• 运行环境：使用受支持的 Java 版本（如 OpenJDK 11+），并以专用的 jenkins 系统用户运行服务，避免以 root 直接启动。
• 端口与暴露面：将服务绑定到 127.0.0.1:8080 或更改默认端口，仅在内网开放；如对外服务，使用 反向代理 + HTTPS。
• 防火墙：仅放行必要端口（如 80/443 或代理与 Agent 通信端口 50000）。示例：
  • firewalld（CentOS/RHEL）：
    • 仅代理访问：sudo firewall-cmd --permanent --add-service=https && sudo firewall-cmd --reload
    • 需要直连 8080：sudo firewall-cmd --permanent --add-port=8080/tcp && sudo firewall-cmd --reload
  • ufw（Debian/Ubuntu）：sudo ufw allow 8080/tcp && sudo ufw reload
• 反向代理与 TLS：在 Nginx/Apache 终止 TLS，设置强加密套件与 HSTS，示例 Nginx 片段：
  • listen 443 ssl http2; ssl_certificate /path/fullchain.pem; ssl_certificate_key /path/privkey.pem;
  • 反向代理头：proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme;
• 禁止危险协议与端口：关闭不必要的服务与端口，避免明文协议与未加密管理通道。

二 身份与访问控制

• 启用安全配置：在 Manage Jenkins → Configure Global Security 勾选 Enable security，并禁用 匿名访问。
• 认证方式：优先集成 LDAP/AD/OAuth 等集中认证，统一账号生命周期与口令策略。
• 授权模型：安装 Role-based Authorization Strategy 或 Matrix Authorization Strategy，按 项目/视图/作业 粒度分配权限，遵循 最小权限原则。
• 代理节点安全：为 JNLP/SSH 代理 使用独立账号与最小权限，限制可执行的代理命令与可写路径。

三 凭据与数据安全

• 凭据集中管理：使用 Jenkins Credentials 存储 密码、API Key、SSH 私钥 等，严禁硬编码到 Jenkinsfile 或脚本。
• 凭据注入：在流水线使用 withCredentials 绑定到环境变量，构建结束后自动清理。
• 轮换与隔离：定期 轮换凭证，为不同环境（如 生产/预发）使用不同凭据；避免在控制器上处理高敏数据。
• 文件与目录：确保 $JENKINS_HOME（常见为 /var/lib/jenkins）及子目录（如 secrets/）仅对 jenkins 用户可读写；必要时用 chown/chmod 修正属主属组与权限。

四 系统与运行安全

• 系统与 SSH：
  • 禁用 root 远程登录，使用 SSH 密钥 认证；限制可登录用户与来源网段。
  • 设置 TMOUT（如 export TMOUT=300）自动注销空闲会话；必要时限制 su 使用范围。
• 服务与端口：如需变更 Jenkins 端口，编辑 /etc/sysconfig/jenkins 的 JENKINS_PORT；仅开放 8080/50000 等必要端口。
• 构建隔离：优先在 代理节点 执行构建与部署，控制器仅做调度与审计，降低被攻陷后的横向移动风险。
• 容器化部署：在 Docker/Kubernetes 中运行 Jenkins，结合 Pod Security 与最小权限的 ServiceAccount，进一步隔离主机。

五 维护与监控

• 更新与补丁：定期更新 Jenkins 核心与插件，及时修复安全漏洞；移除不再使用的插件以降低攻击面。
• 备份与恢复：定期备份 $JENKINS_HOME（含 jobs/、config.xml、secrets/ 等），并进行 恢复演练；可用 cron 自动化备份。
• 审计与告警：启用并定期检查 系统日志/构建日志，对异常登录、权限变更、凭据使用与关键任务失败配置告警。