Rundeck跨GCP实例导入项目失败，文件传输被拦截问题排查

问题描述 #

我尝试将Rundeck项目从一台GCP实例导出到另一台使用相同镜像的GCP实例，但导入时报错：

File Transfer Blocked
The file you are trying to download or upload has been blocked in accordance with company policy. Please contact your system administrator if you believe this is an error.
File name: XXXX_gce_prod-20231128-131947.rdproject.jar

我的账号拥有管理员权限，两台实例的Rundeck版本一致，当前管理员ACL策略如下：

description: Admin, all access.
context:
  project: '.*' # all projects
for:
  resource:
    - allow: '*' # allow read/create all kinds
    - allow: import
    - allow: export
  adhoc:
    - allow: '*' # allow read/running/killing adhoc jobs
  job: 
    - allow: '*' # allow read/write/delete/run/kill of all jobs
  node:
    - allow: '*' # allow read/run for all nodes
by:
  group: admin

---

description: Admin, all access.
context:
  application: 'rundeck'
for:
  resource:
    - allow: '*' # allow create of projects
  project:
    - allow: '*' # allow view/admin of all project
    - allow: import
    - allow: exports
  project_acl:
    - allow: '*' # allow admin of all project-level ACL policies
  storage:
    - allow: '*' # allow read/create/update/delete for all /keys/* storage content
by:
  group: admin

请问我遗漏了什么配置？是否存在针对Rundeck项目导入/导出的特定配置需要设置？

排查方向 #

从报错提示来看，核心是公司策略级别的文件传输拦截，优先从非Rundeck ACL的方向排查：

• GCP层面安全限制

  • 检查两台实例所属VPC的防火墙规则，确认是否放行Rundeck默认端口（4440/4443）的实例间流量，是否有针对文件上传的拦截规则
  • 查看Cloud IAP、Cloud Armor的配置，是否存在拦截.rdproject.jar这类后缀文件的策略
  • 检查实例上的GCP端点保护工具或第三方安全软件，是否有文件上传/下载的管控策略

• Rundeck自身配置修正

  • 检查rundeck-config.properties中的framework.upload.maxSize参数，确认导出文件大小未超过限制
  • 注意应用级ACL里的allow: exports是拼写错误，正确权限应为export（单数），虽然allow: '*'已覆盖，但修正后可避免潜在权限问题
  • 查看Rundeck的web.xml配置，是否有文件上传过滤器限制了特定文件类型或大小

• 实例本地安全策略

  • 检查实例本地防火墙（如ufw、iptables）是否限制了向Rundeck服务发起的上传请求
  • 若实例使用代理服务器（Nginx/Apache），检查代理配置是否拦截了特定类型的文件上传

内容的提问来源于stack exchange，提问作者devops on the road