Jenkins执行Terraform+Ansible任务时密钥文件权限拒绝问题求助

1. 验证密钥文件及父目录权限 #

• 确保密钥文件本身权限为600（仅所有者可读）：

  chmod 600 /path/to/your/key.pem
  

• 检查所有父目录对tomcat用户有执行权限（允许遍历目录）：

  chmod +x /path/to/your
  chmod +x /path/to
  chmod +x /path
  

• 直接用tomcat身份测试读取：

  su - tomcat -c "cat /path/to/your/key.pem"
  

  如果此命令失败，说明权限问题未解决，继续排查目录权限或组归属。

2. 排查SELinux限制 #

如果服务器启用了SELinux，tomcat进程的安全上下文可能阻止访问密钥文件：

• 查看密钥文件的SELinux标签：

  ls -Z /path/to/your/key.pem
  

• 临时关闭SELinux测试：

  setenforce 0
  

  若问题解决，需为密钥文件设置正确的SELinux上下文（永久生效）：

  semanage fcontext -a -t tomcat_home_t "/path/to/your/key.pem"
  restorecon -v /path/to/your/key.pem
  

3. 修正sudo执行上下文 #

如果通过sudo运行Terraform，确保sudo保留必要环境变量且无权限限制：

• 在Jenkins执行命令中添加-E参数保留环境：

  sudo -E terraform apply -var="ssh_key_path=/path/to/your/key.pem"
  

• 检查sudoers配置，确保tomcat用户可免密执行Terraform：
  编辑sudo visudo，添加：

  tomcat ALL=(ALL) NOPASSWD: /usr/bin/terraform
  

4. 统一Terraform路径配置 #

• 避免在Terraform配置中使用相对路径，改为绝对路径指定密钥：

  variable "ssh_key_path" {
    type = string
    default = "/path/to/your/key.pem"
  }
  

• 确保Jenkins Job执行时切换到Terraform配置所在的工作目录，再执行命令。

5. 对齐Jenkins与本地执行环境 #

• 对比本地用户和tomcat用户的环境变量差异，重点检查HOME、PATH：

  # 本地执行
  env | grep -E "(HOME|PATH)"
  # Jenkins中执行
  su - tomcat -c "env | grep -E "(HOME|PATH)""
  

• 在Jenkins执行命令前手动设置必要环境变量：

  export HOME=/home/tomcat
  terraform apply
  

内容的提问来源于stack exchange，提问作者peter oliseh