Jenkins节点之间如何安全地进行SSH连接？

31次阅读

问题描述

在使用Jenkins时遇到一个问题：他们有一个Jenkins任务，需要在节点A上构建某些内容，然后将其SCP到节点B。他们知道可以在节点A上放置节点B的SSH密钥，并使用execute shell构建步骤进行SCP操作，但他们怀疑在Jenkins节点上存储SSH密钥是否是一种不好的做法，并希望避免这样做。用户想知道在这种情况下的最佳实践是什么？是否有插件或功能可以解决这个问题？是否应该在节点上安装Hashicorp Vault并单独配置密钥？

解决方案

请注意以下操作注意版本差异及修改前做好备份。

方案1

在构建节点上直接存储SSH密钥是一种不好的做法。节点可能会被复制、删除或从其他系统访问，你不希望失去对哪些系统可以访问你的密钥的跟踪。

你也不应该直接将它们作为参数或环境变量传递给构建任务。这可能会导致日志记录和跟踪方面的巨大麻烦，以确保你的密钥不会意外地输出到不应该出现的地方。相反，你应该：

使用集中的密钥存储（如Hashicorp Vault）在构建运行时检索密钥。
使用插件（如Credentials或SSH Credentials插件）在构建过程中引用密钥。

以下是一些解决方案的步骤：
1. 安装并配置Hashicorp Vault或其他密钥存储系统。
2. 在Jenkins中安装Credentials或SSH Credentials插件。
3. 在构建过程中使用插件提供的功能引用密钥。

请注意，这些插件的具体用法和配置可能因版本而异，请参考官方文档或插件文档以获取更详细的信息。

方案2

使用远程存储桶将文件从节点A推送到节点B可能会增加复杂性，并且可能需要访问互联网。

另一种方法是将文件从节点A推送到远程存储桶，然后使用触发器或Webhook将其从存储桶拉取到节点B。这可能需要访问互联网。

要实现这个方法，你可以使用Jenkins Credentials插件和SSH Credentials插件。以下是一些解决方案的步骤：

安装并配置Jenkins Credentials插件和SSH Credentials插件。
在Jenkins中创建一个凭据，用于存储SSH密钥。
在构建过程中使用插件提供的功能引用凭据。

请注意，这种方法可能需要一些额外的配置和设置，具体取决于你的环境和需求。请参考官方文档或插件文档以获取更详细的信息。

方案3

使用脚本或工具来管理SSH连接可能会增加复杂性，并且需要确保密钥的安全性。

另一种方法是使用脚本或工具来控制SSH连接。你可以编写脚本来在节点A上执行SCP操作，并使用SSH密钥进行身份验证。以下是一个简单的bash脚本示例：

#!/bin/bash
# 在节点A上执行SCP操作
scp -i /path/to/ssh/key.pem /path/to/file user@nodeB:/path/to/destination

在这个示例中，我们使用scp命令在节点A上执行SCP操作，并使用SSH密钥进行身份验证。你需要将/path/to/ssh/key.pem替换为你的SSH密钥文件的路径，将/path/to/file替换为要传输的文件的路径，将user@nodeB替换为节点B的用户名和主机名，将/path/to/destination替换为文件在节点B上的目标路径。

请注意，这种方法需要你在构建节点上安装并配置SSH客户端，并确保SSH密钥的安全性。

以上是几种解决方案的示例，具体取决于你的环境和需求。请根据实际情况选择最适合你的方法，并参考相关文档以获取更详细的信息。