1

Как ограничить подключение по ssh из jenkins пользователю? Необходимо, чтобы один проект был доступен всем. В то же время, разграничить пользователям(в зависимости от ролей) подключение до определенных хостов. Возможно ли сделать это с помощью jenkins или другого инструментария?

3
  • вероятно, сначала вам надо узнать ответ на совсем другой вопрос: это вообще к jenkins имеет хоть малейшее отношение? 24 июл 2017 в 15:35
  • имеет отношение. Пользователь будет запускать скрипты на удаленном хосте по ssh через jenkins. Нужно, чтобы у каждого пользователя был свой пул разрешенных хостов для выполнения ssh-команд
    – Tatiana
    24 июл 2017 в 15:41
  • Ну как, вы нашли какое-нибудь решение?
    – Nick Volynkin
    17 авг 2017 в 2:54

1 ответ 1

0

В схеме без участия Jenkins этот вопрос решается довольно просто:

  • Каждый пользователь имеет имя и SSH-ключ.
  • На каждом хосте создана учетная запись с этим именем и в /home/username/.ssh/authorized_keys добавлена публичная часть ключа тех пользователей, которым можно заходить на этот хост. Либо на крайний случай есть один на всех пользователь и у него в ~/.ssh/authorized_keys все публичные ключи.

С Jenkins эта схема ломается: на нем просто нет учетных записей на каждого пользователя. Все задачи выполняются под пользователем jenkins (про точное имя рискую соврать, перепроверьте). Поэтому для различения пользователей нам в любом случае понадобится получить имя пользователя, запустившего сборку, непосредственно в коде сборки. Кажется, по умолчанию такой переменной окружения нет, но ее добавляет, например, плагин Build User Vars. С ним у нас есть BUILD_USER_ID. Дальше приходят на ум такие варианты решения. Наверняка есть что-то лучше, возможно есть специальный плагин — так что не воспринимайте это как руководство или гарантию надежности, безопасности или чего угодно другого.

  1. Решение через SSH

    Можно положить приватные ключи всех пользователей где-то на Jenkins, а при выполнении задач обращаться к ним:

    ssh ${BUILD_USER_ID}@hostname -i path/to/${BUILD_USER_ID}/id_rsa ...
    
    ansible-playbook --private-key=path/to/${BUILD_USER_ID}/id_rsa -u ${{BUILD_USER_ID}} ...
    

    Тут есть существенный недостаток: вы будете хранить приватные ключи на Jenkins, который безопасностью не отличается. Может быть довольно просто получить доступ к ним из какой-нибудь другой задачи.

  2. Программное решение

    Можно написать программу на любом языке, в которой получить переменную окружения BUILD_USER_ID, сверить ее со списком хостов и продолжить либо прервать работу. Списки соответствия хостов и пользователей хранить в репозитории git с публичным доступом на чтение, но запись (push) только для избранных.

    Ограничение — возможность управлять доступом только из кода задачи Jenkins. Фактический доступ пользователей до конкретного хоста по SSH никак не будет соотноситься с доступом через Jenkins. Но это может быть и преимуществом.

  3. Вообще без Jenkins

    Если пользователи достаточно компетентны, то для запуска скриптов вообще не нужен Jenkins. Достаточно обычной схемы с управлением доступом по ключам, запуск скриптов завернуть в ansible или хотя бы в локальные shell-скрипты, которые потом будут запускаться по ./name.sh. Если вы выбрали ansible и хотите избавить пользователей даже от написания длинных строк, можно обернуть типовые задачи в Make или python-invoke. Я делаю как-то так:

    @task
    def deploy(ctx, *hostnames):
        # в Ansible хосты перечисляются через ':'
        ansible_limit = ':'.join(hostnames)
        ctx.run('ansible-playbook deploy.yml -i hosts -l {}'.format(ansible_limit))
    
1
  • Пользователи разные, у них есть свои учетные данные к jenkins. Ключ для удаленного доступа к хосту по ssh один для всех хостов. В этом случае, у меня должно быть ограничение по разрешенным хостам для пользователей jenkins'а(Иванова, Петрова, etc)
    – Tatiana
    27 июл 2017 в 6:13

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.