┌─────────────────────────────────────────────────────────────────┐
│                      Jenkins 安全体系                            │
├─────────────────────────────────────────────────────────────────┤
│                                                                  │
│  ┌──────────────────┐  ┌──────────────────┐  ┌──────────────────┐│
│  │      认证         │  │      授权         │  │      凭据         ││
│  │  • Jenkins 用户   │  │  • 矩阵授权       │  │  • 密钥管理       ││
│  │  • LDAP          │  │  • 项目授权       │  │  • 密码加密       ││
│  │  • OAuth/GitHub  │  │  • 基于角色       │  │  • 证书存储       ││
│  │  • SAML          │  │  • 登录用户       │  │  • SSH 密钥       ││
│  └──────────────────┘  └──────────────────┘  └──────────────────┘│
│                                                                  │
│  ┌──────────────────┐  ┌──────────────────┐                     │
│  │   全局安全配置     │  │     审计日志      │                     │
│  │  • CSRF 防护      │  │  • 操作记录       │                     │
│  │  • 脚本安全       │  │  • 构建历史       │                     │
│  │  • Agent 通信    │  │  • 登录日志       │                     │
│  └──────────────────┘  └──────────────────┘                     │
└─────────────────────────────────────────────────────────────────┘

系统管理 → 安全 → 全局安全配置

安全域 → Jenkins 内置用户数据库
    ✅ 允许用户注册（可选）

安全域 → GitHub Authentication Plugin
    ✅ Allow users to sign up
    GitHub App:
      - App ID: xxx
      - Client ID: xxx
      - Client secret: xxx

⚠️ 仅用于本地开发！

授权策略 → 登录用户可以做任何事情

// Pipeline 中配置项目权限
properties([
    authorizationMatrix([
        user1: ['BUILD', 'CANCEL'],
        user2: ['BUILD', 'CANCEL', 'CONFIGURE'],
        'developers': ['BUILD', 'CANCEL', 'WORKSPACE']
    ])
])

授权策略 → Role-Based Strategy

Manage and Assign Roles → Assign Roles

系统管理 → 安全 → Manage Credentials
    → Stores scoped to Jenkins → Jenkins → 全局凭据

pipeline {
    agent any
    
    environment {
        // 凭据会自动解密
        API_TOKEN = credentials('api-token-secret')
    }
    
    stages {
        stage('Build') {
            steps {
                withCredentials([string(credentialsId: 'my-secret', variable: 'SECRET')]) {
                    sh 'curl -H "Authorization: Bearer $SECRET" https://api.example.com'
                }
            }
        }
    }
}

steps {
    withCredentials([
        // 用户名密码
        usernamePassword(
            credentialsId: 'github-credentials',
            usernameVariable: 'GIT_USER',
            passwordVariable: 'GIT_PASS'
        ),
        
        // SSH 私钥
        sshUserPrivateKey(
            credentialsId: 'ssh-key',
            usernameVariable: 'SSH_USER',
            keyFileVariable: 'SSH_KEY'
        ),
        
        // 文件
        file(
            credentialsId: 'config-file',
            variable: 'CONFIG_PATH'
        )
    ]) {
        sh '''
            git clone https://$GIT_USER:$GIT_PASS@github.com/org/repo.git
            ssh -i $SSH_KEY $SSH_USER@host
        '''
    }
}

全局安全配置 → 防止跨站请求伪造
    ✅ 启用代理兼容性（可选）

全局安全配置 → Groovy 脚本沙箱
    ✅ 启用 Groovy 沙箱

系统管理 → In-process Script Approval
    • 审批方法签名
    • 审批脚本

// 在 Pipeline 中禁用沙箱（需审批）
@Grab('org.apache.commons:commons-lang3:3.12.0')

// 推荐使用沙箱内可用的方法

全局安全配置 → Agent → Controller 访问控制

全局安全配置 → Agent → WebSocket
    ✅ 启用 WebSocket 连接

系统管理 → 插件管理 → 搜索 "audit trail"

系统管理 → 系统设置 → Audit Trail
    日志文件: ${JENKINS_HOME}/logs/audit.log
    轮转: 每天
    最大文件数: 30

# 1. 使用 HTTPS
# 2. 防火墙限制访问
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw deny 8080/tcp  # 禁止直接访问

# 3. 定期更新 Jenkins
sudo apt update && sudo apt upgrade jenkins

# 4. 限制 SSH 访问
sudo ufw allow 22/tcp from 10.0.0.0/8

# 5. 文件权限
chown -R jenkins:jenkins /var/lib/jenkins
chmod -R 600 /var/lib/jenkins/secrets

pipeline {
    options {
        // 禁止不安全的环境变量传递
        disableGlobalEnvironmentVariables()
    }
    
    stages {
        stage('Security Check') {
            steps {
                script {
                    // 验证输入参数
                    assert params.VERSION : "VERSION 参数不能为空"
                    assert params.VERSION ==~ /^\d+\.\d+\.\d+$/ : "版本格式不正确"
                }
            }
        }
    }
}

安全域: LDAP (企业 AD)
授权策略: 矩阵授权
    - IT Admin: 完全控制
    - Developer: Job 构建，配置
    - QA: Job 只读，构建

安全域: GitHub OAuth
授权策略: 项目矩阵授权
    - 项目所有者: 完全控制
    - 协作者: 构建
    - 其他: 只读