如何加固Debian的Jenkins

加固 Debian 上的 Jenkins 是提升 CI/CD 环境安全性的关键步骤。以下是一套从系统到 Jenkins 本身的加固建议，按优先级和层次组织，适合生产环境。

一、系统与运行环境加固

1. 以非 root 用户运行 Jenkins

确保 Jenkins 不是以 root 运行。

ps aux | grep jenkins

如果不是 jenkins 用户：

sudo systemctl edit jenkins

确认：

User=jenkins
Group=jenkins

2. 限制 Jenkins 用户权限

• 禁止 Jenkins 用户登录 shell：

sudo chsh -s /usr/sbin/nologin jenkins

• 限制 sudo 权限（不要给 Jenkins sudo）
• 如必须执行特权操作，使用：
  • sudoers 白名单
  • 或专用脚本 + setuid

3. 使用防火墙限制访问

只允许可信 IP 访问 Jenkins。

sudo ufw allow from 10.0.0.0/8 to any port 8080
sudo ufw enable

二、Jenkins 自身安全配置（Web UI）

进入：

Jenkins → Manage Jenkins → Security

4. 启用安全（必须）

✅ 勾选 Enable security

5. 使用专用用户数据库或 LDAP

推荐顺序：

1. LDAP / AD（企业环境）
2. Jenkins 自带用户数据库
3. 不推荐：Anyone can do anything

6. 启用矩阵授权策略

路径：

Manage Jenkins → Security → Authorization

✅ 选择 Matrix-based security 或 Role-Based Strategy

• 最小权限原则
• 禁止 Anonymous 用户任何权限
• 为不同角色（dev / ops / admin）分配权限

建议插件：

Role-based Authorization Strategy

7. 禁用匿名读取

• 取消 Anonymous 的：
  • Overall → Read
  • Job → Read

三、认证与访问控制

8. 启用 HTTPS（强烈建议）

不要直接暴露 HTTP 8080。

使用 Nginx 反向代理 + TLS

server {
    listen 443 ssl;
    server_name jenkins.example.com;

    ssl_certificate /etc/ssl/certs/jenkins.crt;
    ssl_certificate_key /etc/ssl/private/jenkins.key;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

并关闭外部直接访问 8080。

9. 启用 CSRF 防护

Manage Jenkins → Security

✅ 启用 CSRF Protection

10. 启用登录安全

• 启用 Remember Me（可选，但限制时间）
• 设置强密码策略
• 限制登录重试（fail2ban）

四、插件与更新管理

11. 定期更新 Jenkins 和插件

sudo apt update
sudo apt upgrade jenkins

在 Web UI：

Manage Jenkins → Manage Plugins → Available/Updates

⚠️ 插件是 Jenkins 最大攻击面

12. 删除无用插件

• 禁用并卸载：
  • 不再维护的插件
  • 未使用的 SCM / 构建工具插件

五、Job 与构建安全

13. 禁止 Job 执行系统 Groovy / 脚本

高风险功能：

• Execute system Groovy script
• Process DSL
• Script console

✅ 建议：

• 禁用 Script Console（或限制管理员）
• 使用 Pipeline as Code
• 禁止在 Job 中运行 sudo

14. 限制构建节点访问

Manage Jenkins → Manage Nodes

• 限制哪些 Job 能在哪些节点运行
• 不在 master 上执行构建

六、审计与日志

15. 启用审计日志

插件推荐：

Audit Trail

记录：

• 登录
• Job 创建 / 删除
• 权限变更

16. 集中化日志

将 Jenkins 日志接入：

• ELK
• Loki + Grafana
• rsyslog

七、文件系统与备份

17. 限制 Jenkins Home 权限

ls -ld /var/lib/jenkins

建议：

drwxr-x--- jenkins jenkins

18. 定期备份 Jenkins

备份目录：

/var/lib/jenkins
/etc/default/jenkins

工具：

• thinBackup 插件
• rsync + cron

八、Debian 系统级加固（补充）

• 启用 AppArmor / SELinux（Debian 默认 AppArmor）
• 配置 fail2ban
• 禁用不必要的服务
• 定期安全更新：

sudo apt update && sudo apt upgrade

九、快速检查清单 ✅

如果你愿意，我可以：

• 给你一份 Jenkins 加固 Checklist（可打印）
• 针对 内网 / 公网 / Kubernetes 场景单独优化
• 帮你 审计现有 Jenkins 配置是否安全

直接告诉我你的部署方式即可。