如何在Jenkins中无需sudo执行Shell命令？

我当前的Jenkins部署阶段通过以下Groovy代码可以正常运行：

stage("Deliver for Development"){
            agent any
            when {
                branch "development"
            }
            steps{
                sh 'sudo rm -rf /var/www/jenkins-weather-app'
                sh "sudo cp -r ${env.WORKSPACE}/build /var/www/jenkins-weather-app"
                sh "sudo ls /var/www/jenkins-weather-app"
                // sh './scripts/kill.sh'
            }
        }

这是因为我在Ubuntu的sudoers文件中添加了一行配置：

jenkins ALL=(ALL) NOPASSWD: ALL

但我认为这种权限配置过于宽松，存在安全隐患。移除sudo后，执行命令会出现权限拒绝错误：

+ cp -r /var/lib/jenkins/workspace/react-weather-app_development/build /var/www/jenkins-weather-app

cp: cannot create directory '/var/www/jenkins-weather-app': Permission denied

script returned exit code 1

请问有没有无需使用sudo就能执行这些Shell命令的方法？

1. 修改目标目录的权限归属 #

最直接的方案是调整目标目录的所有权或权限，让jenkins用户拥有操作权限：

• 先创建目标目录（若不存在）：

  sudo mkdir -p /var/www/jenkins-weather-app
  

• 将目录所有者改为jenkins用户：

  sudo chown -R jenkins:jenkins /var/www/jenkins-weather-app
  

• 如果需要让jenkins能在/var/www下创建新目录，可将其加入www-data组（Web服务常用组）并开放组写权限：

  sudo usermod -aG www-data jenkins
  sudo chmod -R g+w /var/www
  

调整后，Jenkins步骤可直接移除sudo：

stage("Deliver for Development"){
            agent any
            when {
                branch "development"
            }
            steps{
                sh 'rm -rf /var/www/jenkins-weather-app'
                sh "cp -r ${env.WORKSPACE}/build /var/www/jenkins-weather-app"
                sh "ls /var/www/jenkins-weather-app"
                // sh './scripts/kill.sh'
            }
        }

2. 收紧sudo权限到特定命令 #

如果不想调整目录权限，可限定jenkins仅能执行部署所需的特定命令，避免完全放开sudo权限：

• 用visudo编辑sudoers文件（避免语法错误）：

  sudo visudo
  

• 替换原配置为：

  jenkins ALL=(ALL) NOPASSWD: /bin/rm -rf /var/www/jenkins-weather-app, /bin/cp -r * /var/www/jenkins-weather-app, /bin/ls /var/www/jenkins-weather-app
  

  注意：命令必须用绝对路径（可通过which rm/which cp确认），参数范围尽量缩小，降低授权风险。

3. 使用文件系统ACL细化权限 #

若需要更精细的权限管理，可借助ACL给jenkins单独授予目标目录的操作权限：

• 先安装acl工具：

  sudo apt install acl
  

• 给jenkins用户添加/var/www目录的读写执行权限：

  sudo setfacl -R -m u:jenkins:rwx /var/www
  

• 设置默认ACL，让后续创建的文件/目录自动继承权限：

  sudo setfacl -R -d -m u:jenkins:rwx /var/www
  

这种方式无需修改目录所有者，适合多用户共享目录的场景。

4. 采用部署专用用户隔离权限 #

如果环境安全要求较高，可创建专门的部署用户，隔离Jenkins用户与部署操作的权限：

• 创建部署用户：

  sudo useradd -m deploy-user
  sudo chown -R deploy-user:deploy-user /var/www/jenkins-weather-app
  

• 在sudoers中授权jenkins切换到该用户：

  jenkins ALL=(deploy-user) NOPASSWD: ALL
  

• Jenkins步骤中以部署用户身份执行命令：

  stage("Deliver for Development"){
            agent any
            when {
                branch "development"
            }
            steps{
                sh 'sudo -u deploy-user rm -rf /var/www/jenkins-weather-app'
                sh "sudo -u deploy-user cp -r ${env.WORKSPACE}/build /var/www/jenkins-weather-app"
                sh "sudo -u deploy-user ls /var/www/jenkins-weather-app"
                // sh './scripts/kill.sh'
            }
        }
  

内容的提问来源于stack exchange，提问作者user11631346