在K8s容器中使用CURL触发远程Jenkins作业时隐藏认证凭证

一、用Kubernetes Secret存储凭证 #

• 创建Secret存储Jenkins用户名和API Token：

  kubectl create secret generic jenkins-creds \
    --from-literal=jenkins-user=$USER \
    --from-literal=jenkins-token=$JENKINS_TOKEN
  

• 在Pod或Argo Workflow容器中，将Secret挂载为环境变量或文件：
  • 挂载为环境变量的Argo模板示例：

    containers:
      - name: trigger-jenkins
        image: curlimages/curl
        env:
          - name: JENKINS_USER
            valueFrom:
              secretKeyRef:
                name: jenkins-creds
                key: jenkins-user
          - name: JENKINS_TOKEN
            valueFrom:
              secretKeyRef:
                name: jenkins-creds
                key: jenkins-token
        command: ["sh", "-c"]
        args:
        - curl -k -X POST -u "${JENKINS_USER}:${JENKINS_TOKEN}" "${JENKINS_URL}/job/${JOB_NAME}/buildWithParameters?token=12345"
    

  • 挂载为文件的话，容器内读取文件内容作为凭证：

    curl -k -X POST -u "$(cat /secrets/jenkins-user):$(cat /secrets/jenkins-token)" "${JENKINS_URL}/job/${JOB_NAME}/buildWithParameters?token=12345"
    

  这种方式下，ArgoUI只会显示环境变量名或文件路径，不会暴露实际凭证值。

二、优化触发命令的写法 #

• 避免在命令行直接拼接凭证，改用curl配置文件：
  创建curl-config文件（通过Secret挂载到容器）：

  user = $JENKINS_USER:$JENKINS_TOKEN
  

  触发命令改为：

  curl -k -X POST -K /path/to/curl-config "${JENKINS_URL}/job/${JOB_NAME}/buildWithParameters?token=12345"
  

  命令行中不会出现凭证相关内容，ArgoUI里看不到敏感信息。

三、用Argo Workflow的Secret传递机制 #

• 在Argo Workflow中直接引用Secret，避免硬编码凭证：

  apiVersion: argoproj.io/v1alpha1
  kind: Workflow
  metadata:
    generateName: trigger-jenkins-
  spec:
    entrypoint: trigger
    templates:
    - name: trigger
      container:
        image: curlimages/curl
        env:
        - name: JENKINS_USER
          valueFrom:
            secretKeyRef:
              name: jenkins-creds
              key: jenkins-user
        - name: JENKINS_TOKEN
          valueFrom:
            secretKeyRef:
              name: jenkins-creds
              key: jenkins-token
        - name: JOB_TOKEN
          valueFrom:
            secretKeyRef:
              name: jenkins-job-token
              key: job-token
        command: ["sh", "-c"]
        args:
        - curl -k -X POST -u "${JENKINS_USER}:${JENKINS_TOKEN}" "${JENKINS_URL}/job/${JOB_NAME}/buildWithParameters?token=${JOB_TOKEN}"
  

  Argo会自动隐藏Secret中的敏感值，UI仅显示变量名。

四、增强作业级触发安全性 #

• 将作业触发token也存入Kubernetes Secret：

  kubectl create secret generic jenkins-job-token --from-literal=job-token=12345
  

  容器中挂载为环境变量后，命令中通过变量引用token，避免硬编码泄露。

内容的提问来源于stack exchange，提问作者Clueless