Jenkins在CentOS上的权限如何设置

Jenkins 在 CentOS 上的权限设置

一 运行身份与系统权限

• 保持以 jenkins 用户运行（默认更安全），仅在确有必要时再切换到 root。
• 修改运行身份与目录属主（示例将运行用户改为 myjenkins，请先创建系统用户与组）：
  • 编辑服务文件：
    sudo systemctl edit --full jenkins
  • 在 [Service] 中设置：
    User=myjenkins
    Group=myjenkins
  • 重新加载并重启：
    sudo systemctl daemon-reexec
    sudo systemctl restart jenkins
  • 调整目录属主（路径以实际安装为准）：
    sudo chown -R myjenkins:myjenkins /var/lib/jenkins /var/cache/jenkins /var/log/jenkins
• 如需临时使用 root 运行（不推荐长期使用）：
  • 编辑 /usr/lib/systemd/system/jenkins.service，将 User=jenkins 改为 User=root，然后执行：
    sudo systemctl daemon-reexec && sudo systemctl restart jenkins
  • 或设置环境变量（部分安装包支持）：在 /etc/sysconfig/jenkins 中写入
    JENKINS_USER=“root”
    并重启服务。以上做法存在显著安全风险，仅用于应急与受控环境。

二 文件系统与 SELinux 上下文

• 常规权限：确保 Jenkins 主目录及子目录对运行用户可读写执行，日志目录可写：
  sudo chown -R jenkins:jenkins /var/lib/jenkins /var/cache/jenkins /var/log/jenkins
  sudo find /var/lib/jenkins /var/cache/jenkins /var/log/jenkins -type d -exec chmod 755 {} ;
  sudo find /var/lib/jenkins /var/cache/jenkins /var/log/jenkins -type f -exec chmod 644 {} ;
• SELinux（如已启用）：为 Jenkins 主目录设置正确的类型并恢复上下文：
  sudo semanage fcontext -a -t jenkins_home_t “/var/lib/jenkins(/.*)?”
  sudo restorecon -Rv /var/lib/jenkins
  若未安装 semanage，可通过 policycoreutils-python-utils 提供相关命令。

三 防火墙与端口访问控制

• 开放访问端口（示例为 8080，生产环境建议使用 HTTPS/443）：
  sudo firewall-cmd --permanent --add-port=8080/tcp
  sudo firewall-cmd --reload
• 如需对外提供 Web 服务，建议配置反向代理与 HTTPS，仅开放必要端口与路径，减少攻击面。

四 Jenkins 内部权限模型 RBAC

• 安装插件：进入 Manage Jenkins → Manage Plugins，安装 Role-based Authorization Strategy。
• 启用策略：进入 Manage Jenkins → Configure Global Security，将 Authorization 设为 Role-Based Strategy。
• 配置角色：进入 Manage Jenkins → Manage and Assign Roles → Manage Roles
  • 创建全局角色（如 read、admin）
  • 创建项目角色（如 dev-.、prod-.，使用正则匹配项目名）并分配相应权限
• 分配角色：进入 Assign Roles，为用户或用户组分配全局与项目角色，实现最小权限分配与多团队协作。

五 常见场景与建议

• 构建需要写入代码仓或制品库：优先为 jenkins 用户配置 SSH 密钥或 凭据，避免直接提权到 root。
• 构建需要更高系统权限（如 Docker、systemd）：采用 sudo 精细化授权（仅允许特定命令），或在受控的 Jenkins Agent 上以更高权限运行受限任务。
• 最小权限原则：RBAC 中仅授予完成任务所需的最小权限；定期审计用户、角色与凭据。
• 安全维护：保持 Jenkins 与插件 及时更新，启用 CSRF 保护 与 代理到主节点通信加密，并限制管理接口访问来源。