CentOS Jenkins配置进阶指南

一、安全配置强化

1. 系统层面安全加固

账户与密码管理：关闭系统中多余的管理员账户（通过/etc/passwd识别并锁定或移除），设置高强度用户密码（包含大小写字母、数字及特殊字符，长度≥10位）；使用chattr +i命令将/etc/passwd、/etc/shadow、/etc/group、/etc/gshadow设为不可修改，防止未经授权的更改。
防火墙配置：通过firewall-cmd开放Jenkins默认端口（8080）及代理端口（50000），并重载防火墙规则：
```
sudo firewall-cmd --permanent --add-port=8080/tcp --add-port=50000/tcp
sudo firewall-cmd --reload
```

2. Jenkins自身安全设置

全局安全配置：进入“系统管理→全局安全配置”，开启安全机制；选择合适的认证方式（如内置账户、LDAP集成或GitHub登录）；使用Role-Based Authorization Strategy插件分配用户/组权限（如管理员、开发者、测试人员），限制匿名用户访问。
安全插件增强：安装Matrix Authorization Strategy或Role-based Authorization Strategy插件，细化权限粒度（如限制用户只能访问特定项目或节点）。
CSP策略调整：若需集成Robot Framework等项目，可通过Groovy脚本修改CSP（内容安全策略），避免插件加载被拦截：
- 新建“启动配置”Job，选择“Execute system Groovy”构建步骤，执行以下命令：
```
system.setProperty("hudson.model.directorybrowser.csp", "")
```
- 重启Jenkins使配置生效。

二、性能优化技巧

1. 硬件与JVM调优

硬件要求：生产环境建议配置8核CPU、16GB内存、100GB SSD（多节点部署时分离Master与Agent，避免单点瓶颈）。
JVM堆内存设置：修改Jenkins启动脚本（/etc/sysconfig/jenkins），调整堆内存大小（避免频繁Full GC）：
```
JAVA_OPTS="-Xms3g -Xmx6g -XX:MaxRAM=6g"
```
或直接通过命令行启动（临时生效）：
```
nohup /usr/bin/java -Xms3g -Xmx6g -jar /usr/share/jenkins/jenkins.war --httpPort=8080 &
```

2. 构建与存储优化

分布式构建：在多台机器上安装Jenkins Agent（通过Docker一键部署），在Master节点配置Agent节点（“系统管理→管理节点”），将构建任务分发至Agent执行，减轻Master压力。
定期清理：定期清理旧构建记录（通过“构建历史”→“删除旧构建”），避免磁盘空间占用过高；设置磁盘使用率告警（如超过80%时触发邮件通知）。
高性能存储：使用SSD替代HDD，提升IO性能，加快构建速度。

三、高可用性架构

1. 主从架构部署

Master-Agent模式：设置1个Master节点（负责任务调度、监控）和多个Agent节点（负责实际构建）；Agent节点通过SSH或JNLP协议连接Master，确保任务分发的高可用性。
故障转移：配置Master节点的备份（如使用rsync同步配置文件至备用服务器），当Master故障时，备用服务器可快速接管服务。

2. 负载均衡

前置负载均衡器：在多台Jenkins服务器前部署HAProxy或Nginx，分散请求负载；配置健康检查（如检测Master节点的8080端口），自动剔除故障节点。

四、CI/CD流水线进阶

1. 声明式流水线配置

连接代码仓库：生成SSH密钥对（ssh-keygen -t rsa -b 4096），将公钥添加至GitHub/GitLab的Deploy Keys；在Jenkins“系统管理→凭据”中添加SSH私钥。

示例Jenkinsfile：创建Jenkinsfile（置于代码仓库根目录），定义CI/CD流程（以Java项目为例）：

pipeline {
    agent any
    stages {
        stage('Checkout') {
            steps {
                git url: 'git@github.com:your-repo/your-project.git', branch: 'master', credentialsId: 'your-ssh-credentials-id'
            }
        }
        stage('Build') {
            steps {
                sh 'mvn clean package'
            }
        }
        stage('Test') {
            steps {
                sh 'mvn test'
            }
        }
        stage('Deploy') {
            when {
                branch 'master'  // 仅master分支触发部署
            }
            steps {
                sh 'mvn deploy'
            }
        }
    }
    post {
        success {
            echo 'Pipeline executed successfully!'
        }
        failure {
            echo 'Pipeline failed!'
        }
    }
}

2. 集成第三方工具

代码质量检查：集成SonarQube（通过SonarQube Scanner插件），在Pipeline中添加扫描步骤：

stage('Code Quality') {
    steps {
        withSonarQubeEnv('SonarQube-Server') {
            sh 'mvn sonar:sonar'
        }
    }
}

制品管理：集成Harbor（容器镜像仓库），将构建的镜像推送至Harbor：

stage('Push Image') {
    steps {
        sh 'docker build -t your-harbor-repo/your-image:latest .'
        sh 'docker login your-harbor-repo -u admin -p password'
        sh 'docker push your-harbor-repo/your-image:latest'
    }
}

五、备份与恢复策略

1. 定期备份配置与数据

备份目录：备份JENKINS_HOME（默认路径/var/lib/jenkins），包含配置文件、构建产物、插件等；创建备份目录/var/backup/jenkins。
自动化备份：使用cron定时任务（每天凌晨2点执行），打包备份JENKINS_HOME：
```
sudo crontab -e
```
添加以下内容：
```
0 2 * * * tar -czvf /var/backup/jenkins_$(date +\%F).tar.gz /var/lib/jenkins
```

2. 恢复流程

若Jenkins出现故障，停止服务并将备份文件解压至原路径：

sudo systemctl stop jenkins
sudo tar -xzvf /var/backup/jenkins_2025-09-30.tar.gz -C /
sudo systemctl start jenkins

六、插件管理最佳实践

插件选择：仅安装必要的插件（如Pipeline、Git、Docker、Kubernetes CLI），避免插件过多导致性能下降。
插件更新：定期通过“系统管理→插件管理”检查并更新插件，修复潜在安全漏洞；优先选择官方或可信来源的插件。
国内镜像加速：更换插件更新源为国内镜像（如清华源），提升下载速度：
- 进入“系统管理→插件管理→高级”，将“Update Site URL”替换为：https://mirrors.tuna.tsinghua.edu.cn/jenkins/updates/update-center.json。

CentOS Jenkins配置的进阶指南