Jenkins存储凭证最优方式是什么 如何安全存储SSH密钥

基础安全方案（绝大多数场景适用） #

• 直接使用Jenkins内置凭证管理能力，默认预装的Credentials Plugin支持加密存储SSH密钥，你只需在「凭证管理」页面新建类型为SSH Username with private key的凭证，上传对应的私钥即可。所有凭证都会被Jenkins用内置密钥加密后存储在master节点，不会明文保存在服务器磁盘，普通服务器用户无法直接读取密钥明文。
• 配套安装Credentials Binding Plugin，构建时插件会自动把密钥注入到构建环境中，无需你手动把密钥写到脚本或者服务器文件里。

权限加固，避免越权使用 #

• 安装Role-based Authorization Strategy插件配置基于角色的权限管控，严格限制凭证的可用范围：只给需要用到该SSH密钥的任务、可信的运维/开发人员开放凭证的使用权限，普通用户无法查看、导出、复制凭证内容。
• 关闭构建任务的「允许敏感变量输出到日志」配置，Jenkins默认会自动掩码凭证相关的输出，该配置可以进一步避免密钥被意外打印到构建日志泄露。
• 写Pipeline脚本时不要主动用echo等命令输出凭证对应的变量，避免触发掩码绕过的风险。

高安全级别的进阶方案 #

• 如果你所在的企业有更高的安全合规要求，可以对接外部机密管理系统，所有SSH密钥统一存储在机密管理系统中，Jenkins运行构建任务时按需临时申请获取密钥，任务结束后密钥自动失效，不会在Jenkins侧持久化存储。
• 额外限制目标服务器的SSH密钥权限：在目标服务器上给对应的SSH密钥配置命令白名单，限定该密钥只能执行你需要的特定操作，即使密钥意外泄露，攻击者也无法拿到服务器的完整操作权限。

注意：绝对不要把SSH密钥硬编码在构建脚本、项目代码仓库，或者直接放在Jenkins工作目录的明文文件中，这类做法的泄露风险极高。

内容的提问来源于stack exchange，提问作者Dev_with_sws