Jenkins中如何加密控制台输出中的凭据

100次阅读

问题描述

在使用Jenkins时，发现凭据在控制台输出中被显示出来。他想知道如何对这些凭据进行加密处理，但不希望使用“Mask Passwords plugin”插件，因为在他的情况下被认为不安全。

解决方案

使用环境变量安全地处理凭据

在Jenkins中，使用环境变量是一种安全处理凭据的方法。下面是一个示例，展示了如何在Pipeline中使用环境变量安全地处理凭据。通过将凭据作为环境变量注入，可以确保其值不会在不需要的情况下被显示出来。这在现代部署中被广泛使用，比如在Kubernetes应用中。

详细步骤如下：

创建一个Jenkins Pipeline（Declarative Pipeline）。
在Pipeline中定义需要的阶段和步骤。
使用environment块来定义需要使用的环境变量，其中凭据的值可以通过调用credentials函数来获取。

以下是一个使用Jenkins Pipeline处理凭据的示例：

pipeline {
    agent {
        // 定义代理配置
    }
    environment {
        AWS_ACCESS_KEY_ID     = credentials('jenkins-aws-secret-key-id')
        AWS_SECRET_ACCESS_KEY = credentials('jenkins-aws-secret-access-key')
        // 定义其他环境变量
    }
    stages {
        stage('示例阶段 1') {
            steps {
                // 此阶段的步骤
            }
        }
        stage('示例阶段 2') {
            steps {
                // 此阶段的步骤
            }
        }
    }
}

在上面的示例中，我们使用了credentials函数来获取凭据的值，并将其存储在环境变量中。这样在Pipeline的各个步骤中，可以直接使用这些环境变量，而无需明文显示凭据的值。

使用withCredentials块处理凭据

另一种处理凭据的方式是使用Jenkins内置的withCredentials块。下面是一个示例，展示了如何在Pipeline中使用withCredentials块处理凭据。这种方法可以避免在Pipeline中直接暴露凭据的值。

详细步骤如下：

在Jenkins Pipeline中的相应步骤中使用withCredentials块。
在withCredentials块中指定凭据的相关信息，比如凭据的ID、用户名变量名和密码变量名。
在withCredentials块内部可以使用这些变量来执行相应的操作，而无需直接暴露凭据的明文值。

以下是一个使用withCredentials块处理凭据的示例：

pipeline {
    agent any
    stages {
        // 其他阶段的定义
        stage('发布') {
            steps {
                withCredentials([
                    usernamePassword(credentialsId: 'sonar-publisher', usernameVariable: 'SONAR_USER', passwordVariable: 'SONAR_PASSWORD')
                ]) {
                    // 使用变量进行操作，避免明文显示
                    sh './gradlew sonar'
                }
            }
        }
    }
}

在上面的示例中，我们在Pipeline的发布阶段使用了withCredentials块，指定了凭据的ID以及用户名和密码的变量名。在withCredentials块内部，可以使用这些变量来执行命令，而无需直接暴露凭据的明文值。