Jenkins如何安全

在 Jenkins 中保证安全（Security）通常从 认证、授权、访问控制、凭据管理、CSRF 防护、插件与升级 等方面入手。下面给你一个实用、可落地的安全配置指南，适合生产环境。

一、启用全局安全（必须）

路径：

Manage Jenkins → Security → Security

✅ 必须开启 Enable security

二、认证方式（你是谁）

1️⃣ 推荐方式

✅ 不要使用“任何人可以做任何事”

三、授权策略（你能做什么）

推荐：Role-Based Strategy（RBAC）

插件：

Role-based Authorization Strategy

常见角色划分

✅ 最小权限原则
❌ 避免给普通用户 Overall/Administer

四、凭据安全（非常关键）

1️⃣ 使用 Credentials Plugin

路径：

Manage Jenkins → Manage Credentials

✅ 存：

• Git 账号
• Docker 密码
• K8s / SSH Key
• 云厂商 AK/SK

❌ 不要：

• 明文写在 Jenkinsfile
• 写在脚本里
• 写死在参数中

2️⃣ 凭据作用域

• Global：谨慎
• System：仅 Jenkins 内部
• Job / Folder：✅ 推荐

五、CSRF 防护（防止跨站攻击）

默认开启，不要关闭

Manage Jenkins → Security
✅ Enable CSRF Protection

Pipeline 中调用 API 时：

• 使用 API Token
• 不要用管理员密码

六、API Token 管理

正确做法

• 每个用户单独 Token
• 设置 过期时间
• 限制权限

❌ 不使用：

• 管理员账号 Token
• 长期不过期 Token

七、Agent（节点）安全

1️⃣ Master 不跑任务（强烈推荐）

Manage Jenkins → Nodes
Master: # of executors = 0

2️⃣ Agent 隔离

• 不同项目不同 Agent
• Agent 不共享凭据
• Agent 使用专用账号

八、插件安全

1️⃣ 插件管理

• 定期更新插件
• 删除无用插件
• 不使用来源不明的插件

2️⃣ 高危插件

• 旧版 Git / Script Security
• 任意 Groovy 执行插件

✅ 使用 Script Security Plugin

九、Pipeline 安全

1️⃣ 禁止 approval 绕过

Manage Jenkins → In-process Script Approval

2️⃣ Pipeline 最佳实践

✅ 使用 Jenkinsfile ✅ 使用 agent none / docker ✅ 禁止：

sh "rm -rf /"
sh "curl evil.com"

十、审计与日志

• 启用 Audit Trail
• 定期查看：
  • 登录记录
  • 权限变更
  • 系统配置修改

十一、备份与恢复

• 定期备份：
  • JENKINS_HOME
  • 凭据
  • 插件列表
• 使用：
  • ThinBackup
  • Git + 加密

十二、生产环境安全清单 ✅

✅ 开启安全
✅ RBAC 权限
✅ 凭据管理
✅ CSRF 开启
✅ Master 不跑任务
✅ 插件定期更新
✅ API Token 不滥用
✅ 日志审计

如果你愿意，我可以进一步帮你：

• ✅ 从零配置 Jenkins 安全
• ✅ 企业级 Jenkins + GitLab OAuth
• ✅ K8s 中 Jenkins 安全方案
• ✅ 安全加固 Checklist（可打印）

你可以直接告诉我你的 部署方式（裸机 / Docker / K8s）和使用规模。