从Jenkins导出凭证迁移至HashiCorp Vault及脚本报错排查

我需要从Jenkins导出密钥迁移到HashiCorp Vault，同时想用SystemCredentialsProvider列出所有Jenkins凭证。执行了以下代码：

def credsStore = jenkinsInstance.getExtensionList('com.cloudbees.plugins.credentials.SystemCredentialsProvider')[0].getStore()

但出现了如下错误：

WorkflowScript: 47: 无法解析类 com.cloudbees.plugins.credentials.impl.StringCredentialsImpl 
15:45:38   @ line 47, column 36.
15:45:38             } else if (cred instanceof com.cloudbees.plugins.credentials.impl.StringCredentialsImpl) {
15:45:38                                        ^
15:45:38  
15:45:38  1个错误
15:45:38  
15:45:38    at org.codehaus.groovy.control.ErrorCollector.failIfErrors(ErrorCollector.java:309)
15:45:38    at org.codehaus.groovy.control.CompilationUnit.applyToSourceUnits(CompilationUnit.java:981)
15:45:38    at org.codehaus.groovy.control.CompilationUnit.doPhaseOperation(CompilationUnit.java:626)
15:45:38    at org.codehaus.groovy.control.CompilationUnit.compile(CompilationUnit.java:575)
15:45:38    at groovy.lang.GroovyClassLoader.doParseClass(GroovyClassLoader.java:323)
15:45:38    at groovy.lang.GroovyClassLoader.parseClass(GroovyClassLoader.java:293)
15:45:38    at org.jenkinsci.plugins.scriptsecurity.sandbox.groovy.GroovySandbox$Scope.parse(GroovySandbox.java:163)
15:45:38    at org.jenkinsci.plugins.workflow.cps.CpsGroovyShell.doParse(CpsGroovyShell.java:190)
15:45:38    at org.jenkinsci.plugins.workflow.cps.CpsGroovyShell.reparse(CpsGroovyShell.java:175)
15:45:38    at org.jenkinsci.plugins.workflow.cps.CpsFlowExecution.parseScript(CpsFlowExecution.java:635)
15:45:38    at org.jenkinsci.plugins.workflow.cps.CpsFlowExecution.start(CpsFlowExecution.java:581)
15:45:38    at org.jenkinsci.plugins.workflow.job.WorkflowRun.run(WorkflowRun.java:335)
15:45:38    at hudson.model.ResourceController.execute(ResourceController.java:101)
15:45:38    at hudson.model.Executor.run(Executor.java:442)
15:45:38  [withMaven] downstreamPipelineTriggerRunListener - 无法内省构建步骤: java.io.IOException:  #16 尚未启动
15:45:38  [withMaven] downstreamPipelineTriggerRunListener - 无法内省构建步骤: java.io.IOException:  #16 尚未启动
15:45:38  完成: 失败

问题原因及解决方案 #

错误原因 #

报错核心是无法解析com.cloudbees.plugins.credentials.impl.StringCredentialsImpl类，通常由两个原因导致：

1. 缺少提供该类的Jenkins插件依赖
2. Jenkins脚本沙箱限制未授权访问该类

分步解决 #

1. 确认插件安装

   • 确保Jenkins已安装Credentials Plugin和CloudBees Credentials Plugin，这两个插件是StringCredentialsImpl类的来源。可以在Jenkins插件管理页面搜索并安装。

2. 授权脚本访问类

   • 进入Jenkins管理页面 → 脚本安全 → 批准签名的脚本和类，找到com.cloudbees.plugins.credentials.impl.StringCredentialsImpl类，点击批准。如果找不到，先运行一次脚本，该类会出现在待批准列表中。

3. 优化凭证遍历代码
   使用正确的类导入和实例化方式，避免类路径解析问题：

   import com.cloudbees.plugins.credentials.SystemCredentialsProvider
   import com.cloudbees.plugins.credentials.impl.StringCredentialsImpl
   import com.cloudbees.plugins.credentials.common.StandardUsernamePasswordCredentials
   
   // 获取系统凭证存储
   def credsStore = SystemCredentialsProvider.getInstance().getStore()
   // 获取所有凭证
   def allCredentials = credsStore.getCredentials(null)
   
   // 遍历并分类处理不同类型的凭证
   allCredentials.each { cred ->
       if (cred instanceof StringCredentialsImpl) {
           println "字符串凭证 - ID: ${cred.id}, 描述: ${cred.description}"
           // 获取密钥内容: cred.secret.toString()
       } else if (cred instanceof StandardUsernamePasswordCredentials) {
           println "用户名密码凭证 - ID: ${cred.id}, 用户名: ${cred.username}"
           // 获取密码: cred.password.toString()
       }
       // 可扩展处理其他凭证类型，如SSH密钥等
   }
   

迁移至HashiCorp Vault的思路 #

1. 导出Jenkins凭证：通过上述脚本获取所有凭证的明文内容（注意：仅在可信环境下操作，避免密钥泄露）。
2. 写入Vault：
   • 使用Vault CLI或API将凭证写入指定路径，例如：

     # 写入字符串凭证到Vault
     vault kv put secret/jenkins/creds/my-string-cred value="$(获取的Jenkins密钥)"
     

   • 也可以使用Jenkins的HashiCorp Vault Plugin，在Pipeline中直接完成凭证的迁移写入，需提前配置Vault的认证令牌和地址。

内容的提问来源于stack exchange，提问作者noopi