在 Debian 上安全运行 Jenkins 的实操清单
一 基础加固与系统准备
- 保持系统与软件最新：执行 sudo apt update && sudo apt upgrade，并启用自动安全更新（如 unattended-upgrades），减少暴露窗口。
- 安装受支持的 Java（推荐 OpenJDK 11 或更高版本），并验证：java -version。
- 安装与启动 Jenkins：sudo apt install jenkins；sudo systemctl enable --now jenkins。
- 防火墙最小化放行：仅开放必要端口（如 8080/TCP 管理端，及 50000/TCP 代理通信，若使用代理/分布式构建），其余默认拒绝。
- SSH 安全：禁用 root 远程登录（PermitRootLogin no）、禁用空密码（PermitEmptyPasswords no）、强制使用 SSH 密钥 登录。
- 主机加固：关闭不必要的服务与端口，及时修补内核与系统组件漏洞。
二 访问控制与认证授权
- 启用全局安全：登录后进入 Manage Jenkins > Configure Global Security，勾选 Enable security。
- 安全域（Authentication）：优先使用 Jenkins 自有用户数据库 或对接 LDAP/企业SSO，集中管理账户生命周期。
- 授权策略（Authorization）：禁用“任何人都可以做任何事”，采用 Logged-in users can do anything 或更细粒度的 Matrix/Role-Based Authorization Strategy，按角色分配权限。
- 会话与请求防护：保持 CSRF 保护 开启，必要时启用代理兼容；为关键操作设置二次确认与最小权限执行。
三 传输加密与网络边界
- 启用 HTTPS/SSL/TLS：为 8080 端口配置反向代理（如 Nginx/Apache）或直接在 Jenkins 上配置证书，强制 HTTP→HTTPS 跳转，禁用明文访问。
- 反向代理与头部安全：配置 X-Forwarded-Proto、X-Forwarded-Port、X-Forwarded-For，并在代理侧设置 HSTS、CSP、X-Frame-Options、X-XSS-Protection 等安全头。
- 网络最小暴露：仅允许受控来源 IP 访问管理端口；代理/构建代理通信端口（如 50000/TCP）仅对可信网段开放。
四 凭据、构建环境与插件管理
- 凭据集中与加密：使用 Credentials 存储 密码、API Key、SSH 私钥 等；在流水线中用 withCredentials 注入，避免硬编码。
- 构建隔离：在 Manage Nodes and Clouds 中配置代理节点，遵循“控制器不跑构建”原则，降低主节点被污染风险。
- 代理与执行器：为代理分配最小权限与专用用户；控制器 执行器设为 0，敏感作业限制在受控代理。
- 插件安全：仅安装必要插件，定期更新；移除不再维护或有漏洞的插件；谨慎使用第三方脚本与共享库。
- 审计与监控：定期审计 Jenkins 日志 与关键操作，启用监控告警（如资源、失败率、异常登录）。
五 备份恢复与持续运维
- 备份策略：定期备份 JENKINS_HOME（含 jobs、config.xml、credentials.xml、plugins/ 等），可使用 ThinBackup 等插件实现自动化与版本化备份。
- 恢复演练：在隔离环境验证备份可用性，明确恢复步骤与 RPO/RTO；关键变更前先备份。
- 高可用与扩展：对关键业务考虑 主从/分布式构建 与多可用区部署，避免单点故障。
- 例行维护：制定 更新窗口（Jenkins 与插件）、变更评审与回滚预案；保留变更记录与审计线索。