jenkins ubuntu版如何安全设置

Ubuntu 上 Jenkins 的安全设置清单

一 基础加固

• 更新系统与 Java：使用 OpenJDK 11 或更高版本，并保持系统与 Jenkins 持续更新。示例：sudo apt update && sudo apt install openjdk-11-jdk -y。
• 最小权限运行：将 Jenkins 服务以专用低权限系统用户运行（如 jenkins:jenkins），避免使用 root。
• 限制网络暴露：仅在内网开放 8080（或自定义）端口，对外网建议前置 反向代理/Nginx/Apache 并启用 HTTPS。
• 防火墙策略：使用 ufw 仅放行必要来源与端口，例如：sudo ufw allow from 10.0.0.0/8 to any port 8080；如需公网访问，仅允许可信网段。
• 备份与恢复：定期备份 $JENKINS_HOME（如 /var/lib/jenkins），包含 jobs、config.xml、secrets、plugins 等，确保可快速恢复。

二 身份与访问控制

• 启用全局安全：进入 Manage Jenkins > Configure Global Security，勾选 Enable security。
• 安全域（Security Realm）：优先使用 Jenkins 自带用户数据库 或对接 LDAP/OAuth 等集中认证，禁用匿名访问。
• 授权策略（Authorization）：采用 Project-based Matrix Authorization Strategy 或 Role-Based Strategy 精细化授权；遵循最小权限原则，仅授予必要权限。
• 角色管理：安装 Role-based Authorization Strategy 插件，划分 Global roles / Item roles / Agent roles，为团队与流水线分配不同权限集合。
• CSRF 防护：保持 CSRF Protection 开启；如经反向代理，按需启用 Enable proxy compatibility。

三 通信加密与反向代理

• 启用 HTTPS：为 Jenkins 配置 TLS/SSL，可使用 自签名 或 受信任 CA 证书；对外服务强制 HTTPS 跳转。
• 反向代理示例（Nginx）：将 80/443 终止 TLS，转发至本地 8080；设置 X-Forwarded-Proto、X-Forwarded-Port、X-Forwarded-For 等请求头，确保 Jenkins 正确识别协议与会话。
• 证书与端口：证书路径与密码妥善管控；如采用 Jenkins 内置 HTTPS，可在启动参数中指定 –httpsPort=8443 与 –httpsKeyStore 等。

四 代理与节点安全

• 代理到 Controller 通信：在 Manage Jenkins > Agents 中配置 Agent-to-Controller 的安全通信（如基于 JNLP/WebSocket 的加密通道），仅允许受控代理连接。
• 节点隔离：为 Agent 分配最小权限与受限工作目录，禁止在 Agent 上执行与构建无关的系统命令。
• 凭据治理：使用 Credentials 插件集中管理 SSH 密钥、用户名/密码、API Token，避免明文出现在构建脚本或代码仓库。

五 插件、日志与审计

• 插件安全：仅安装必要且维护活跃的插件；定期在 Manage Plugins 执行更新，及时修补漏洞；移除不再使用的插件。
• 日志与审计：启用并集中 系统日志、构建日志；定期审计关键操作（如用户创建、权限变更、凭据使用、系统配置修改）。
• 监控与告警：监控 JVM、线程、队列、磁盘 IO 等指标；对异常登录、权限变更、构建失败率飙升等配置告警。