Ключи Jenkins ssh доступны для аутентифицированных пользователей

Question

Возможно, я что-то делаю неправильно, но это, похоже, имеет место для каждой установки jenkins, которую я видел. Создавая новую Дженкинс работу, и добавить задачу сценария оболочки, я могу

cat ~/.ssh/id_rsa 

И, конечно, увидеть ключ в журнале вывода.

Я использую private github repos для кода хоста для сборки, поэтому мне нужен какой-то способ аутентификации. Ключ также разрешается совершать, так как мы освобождаемся от дженкинсов.

Есть ли способ смягчить способность пользователей jenkins просматривать мои ключи, не нарушая или не ограничивая разработчиков слишком много?

Answer 1

Одним из способов снижения риска является:

• не используя ключи SSH
• использование довольно dedicated token (что проще отменить)
• магазин, лексема в нетрадиционном пути, известен только из сценариев, требующих аутентификации, а не из любых заданий Дженкинса.

Answer 2

Я разработал, как это сделать: Используйте плагин управления-ssh-credentials + ssh-agent. Зашифруйте закрытый ключ и вставьте его в пользовательский интерфейс учетных данных ssh. Теперь он доступен для всех рабочих мест. Если вам нужно выполнить сценарии оболочки с помощью ssh, необходимый ключ можно загрузить из плагина ssh-agent внутри задания.