Jenkins从HashiCorp Vault获取SSH密钥后权限过高问题求助

核心原因 #

Jenkins从Vault拉取SSH私钥并生成临时文件时，默认文件权限不符合SSH的严格要求（SSH要求私钥文件权限必须为600，即仅所有者可读可写）。由于每次Git操作都会生成新的临时密钥文件，手动修改权限毫无意义，必须从根源控制文件生成时的权限。

解决方案 #

1. 调整Jenkins容器的UMASK值

这是最直接有效的方法。通过设置Jenkins容器的UMASK环境变量，强制生成的文件权限为600：
在Jenkins的Deployment YAML中，为容器添加环境变量：

spec:
  template:
    spec:
      containers:
      - name: jenkins
        env:
        - name: UMASK
          value: "0077"

0077的UMASK会让新生成的文件权限为600（666-077=600），完全符合SSH对私钥文件的权限要求。

2. 优化Credentials插件的SSH凭证配置

检查JCasC中SSH凭证的定义，确保私钥来源配置正确。如果使用Vault作为凭证源，确认vaultSecretCredential的配置没有额外的权限泄漏：

credentials:
  system:
    domainCredentials:
    - credentials:
      - sshUserPrivateKey:
          id: "git-ssh-key"
          description: "SSH key for Git SCM"
          username: "git"
          privateKeySource:
            vaultSecretCredential:
              vaultSecretPath: "kv2/path/to/secret"
              vaultSecretKey: "private-key"

确保插件在拉取密钥后，不会给临时文件设置多余的权限。

3. 验证Vault中存储的私钥格式

确认Vault中存储的SSH私钥是标准的PEM格式，没有多余的换行、空格或注释。可以将私钥下载到本地，执行chmod 600 private-key后测试是否能正常连接Git仓库，排除私钥本身的格式问题。

4. 使用SSH Agent插件管理密钥

如果上述方法仍不生效，可改用Jenkins的SSH Agent插件，它会在内存中加载私钥，避免生成临时文件：
在Jenkinsfile中使用sshagent步骤包裹Git操作：

pipeline {
  agent any
  stages {
    stage('Clone Repository') {
      steps {
        sshagent(['git-ssh-key']) {
          sh 'git clone git@your-repo-url.git'
        }
      }
    }
  }
}

这种方式不会在磁盘上生成私钥文件，从根本上避免了权限问题。

内容的提问来源于stack exchange，提问作者user3334871