Jenkins Pipeline使用者許可權管理新技巧：打造安全高效的流水線！

Jenkins Pipeline使用者許可權管理新技巧：打造安全高效的流水線！

原創 點選關注👉 雲原生運維圈 2024-05-24 08:00 上海 聽全文

什麼是RBAC

基於角色的訪問控制（Role-based access control，簡稱 RBAC），指的是透過使用者的角色（Role）授權其相關許可權，這實現了更靈活的訪問控制，相比直接授予使用者許可權，要更加簡單、高效、可擴充套件。

image

當使用 RBAC 時，透過分析系統使用者的實際情況，基於共同的職責和需求，授予他們不同角色。你可以授予給使用者一個或多個角色，每個角色具有一個或多個許可權，這種 使用者-角色、角色-許可權 間的關係，讓我們可以不用再單獨管理單個使用者，使用者從授予的角色裡面繼承所需的許可權。

大家可以看一下的案例更容易理解：

使用者角色分為管理員、開發、運維，各個角色並具備不同的許可權。每個使用者也具備單個與多個角色。

image

需求說明

本章節是透過一個企業案例進行講解，需求如下：

image

接下來，我們根據上圖的組織架構來建立使用者與組。

Jenkins許可權如何分配：

• 開發組：只讀許可權

• 運維組：管理員許可權

• 測試組：執行許可權

配置許可權

配置角色

image

分配許可權

image

許可權驗證

張三（管理員），下圖可以看到什麼許可權都有：

image

李四（只讀），下圖可以看到只有只讀許可權：

image

張三（執行許可權），下圖可以看到是有執行許可權的：

image

配置Pipeline許可權

需求說明

實際情況中，我們是透過Pipeline進行管理流水線的，接下來咱們針對Pipeline進行配置許可權控制，詳情如下圖：

image

許可權配置：

• 運維組：管理員許可權

• 開發組：非生產環境只讀許可權

• 測試組：非生產環境執行許可權

許可權配置

以Ruoyi- Gateway為例，在Pipeline裡配置許可權：

DeployDev階段（修改submitter配置）：

...
    stage('DeployDev'){
            steps {
                echo "部署開發環境"
                script {
                    def userInput = input (
                        message: '確定要釋出到DEV環境嗎？',
                        parameters:[
                            choice(name: '操作', choices: ['釋出', '跳過'])
                        ],
                        ok: '確定',
                        submitter: 'ops,qa', // 配置ops，qa組即可
                        submitterParameter: 'APPROVER'
                    )
                    if (userInput['操作'] == '釋出'){
                        echo "部署Dev環境開始"

                        ....

DeployUat階段（修改submitter配置）：

....
    stage('DeployUat'){
            steps {
                echo "部署測試環境"
                 script {
                    def userInput = input (
                        message: '確定要釋出到UAT環境嗎？',
                        parameters:[
                            choice(name: '操作', choices: ['釋出', '跳過'])
                        ],
                        ok: '確定',
                        submitter: 'ops,qa', // 配置ops，qa組即可
                        submitterParameter: 'APPROVER'
                    )
                    if (userInput['操作'] == '釋出'){
                        echo "釋出"


                        ....

DeployGray階段（修改submitter配置）：

  stage('DeployGray'){
            steps {
                echo "部署灰度環境"
                 script {
                    def GraysMode = input (
                        message: '確定要灰度驗證嗎？',
                        parameters:[
                            choice(name: 'operation', choices: ['基於權重灰度','基於請求頭灰度','跳過'])
                        ],
                        ok: '確定',
                        submitter: 'ops',
                        submitterParameter: 'APPROVER'
                    )
                    if (GraysMode['operation'] == '基於權重灰度'){
                        def WeightMode = input (
                        message: '請輸入權重比例！',
                        parameters:[
                            string(name: 'workload_weight',defaultValue: '',description: ''),
                            string(name: 'grayload_weight',defaultValue: '',description: '')
                        ],
                        ok: '確定',
                        submitter: 'ops',
                        submitterParameter: 'APPROVER'
                    )
                    sh """
                     echo $pipeline_dir
                     echo "列印編排檔案詳細資訊"
                     if [ -e "$pipeline_dir/prod/$Project_Name/deployment-gray.yml" ]; then
                        cat $pipeline_dir/prod/$Project_Name/deployment-gray.yml | sed  "s/TAG/${Tag}/g" 
                        cat $pipeline_dir/prod/$Project_Name/deployment-gray.yml | sed  "s/TAG/${Tag}/g" | /usr/bin/kubectl apply -f  -
                     fi

                     echo "配置權重"

                     echo ${WeightMode['grayload_weight']}
                     if [ -e "$pipeline_dir/prod/$Project_Name/ingress-gray-weight.yml" ]; then
                        cat $pipeline_dir/prod/$Project_Name/ingress-gray-weight.yml | sed  "s/WEIGHT-VALUE/${WeightMode['grayload_weight']}/g" 
                        cat $pipeline_dir/prod/$Project_Name/ingress-gray-weight.yml | sed  "s/WEIGHT-VALUE/${WeightMode['grayload_weight']}/g" | /usr/bin/kubectl apply -f  -
                     fi
                    """
                    }
                    if (GraysMode['operation'] == '基於請求頭灰度'){
                        GrayHeaderMode = input (
                        message: '請輸入請求頭！',
                        parameters:[
                            string(name: 'header_key',defaultValue: '',description: ''),
                            string(name: 'header_value',defaultValue: '',description: '')
                        ],
                        ok: '確定',
                        submitter: 'ops',
                        submitterParameter: 'APPROVER'
                    )
                   
                     sh """
                     echo ${GrayHeaderMode['header_value']}
                     echo $pipeline_dir
                     echo "列印編排檔案詳細資訊"

                     if [ -e "$pipeline_dir/prod/$Project_Name/deployment-gray.yml" ]; then
                        cat $pipeline_dir/prod/$Project_Name/deployment-gray.yml | sed  "s/TAG/${Tag}/g" 
                        cat $pipeline_dir/prod/$Project_Name/deployment-gray.yml | sed  "s/TAG/${Tag}/g" | /usr/bin/kubectl apply -f  -
                     fi
                     
                     echo "配置請求頭"
                     echo ${GrayHeaderMode['header_key']}
                     echo ${GrayHeaderMode['header_value']}

                     if [ -e "$pipeline_dir/prod/$Project_Name/ingress-gray-header.yml" ]; then
                        cat $pipeline_dir/prod/$Project_Name/ingress-gray-header.yml | sed  "s/header-key/${GrayHeaderMode['header_key']}/g" | sed  "s/header-value/${GrayHeaderMode['header_value']}/g"
                        cat $pipeline_dir/prod/$Project_Name/ingress-gray-header.yml | sed  "s/header-value/${GrayHeaderMode['header_key']}/g" | sed  "s/header-value/${GrayHeaderMode['header_value']}/g" | /usr/bin/kubectl apply -f  -
                     fi
                    """
                    }
                    // 預設模式為yes，如果跳過為no
                    if (GraysMode['operation'] == '跳過'){
                        GrayEnable='no'
                    }
                }
            }

DeployProd階段（修改submitter配置）：

       stage('DeployProd'){
            steps {
                echo "部署生產環境"
                 script {
                    def userInput = input (
                        message: '確定要釋出到生產環境嗎？',
                        parameters:[
                            choice(name: '操作', choices: ['釋出', '跳過'])
                        ],
                        ok: '確定',
                        submitter: 'ops',
                        submitterParameter: 'APPROVER'
                    )
                    if (userInput['操作'] == '釋出'){
                        echo "釋出"
                        Namespace_Prod = sh(script: "cat $pipeline_dir/prod/$Project_Name/deployment.yml | grep namespace | awk -F ':' '{print \$2}'", returnStdout: true).trim()
                        DeploymentName = sh(script: "cat $pipeline_dir/prod/$Project_Name/deployment.yml | grep name: |  head -n 1 | awk -F ':' '{print \$2}'", returnStdout: true).trim()
                        Revsion_Prod = sh(script: "kubectl get deployment $DeploymentName -n ${Namespace_Prod} -o=jsonpath='{.spec.template.spec.containers[*].image}' | awk -F ':' '{print \$NF}'", returnStdout: true).trim()
                        GrayDeploymentName = sh(script: "cat $pipeline_dir/prod/$Project_Name/deployment-gray.yml | grep name: |  head -n 1 | awk -F ':' '{print \$2}'", returnStdout: true).trim()
                        GrayServiceName = sh(script: "cat $pipeline_dir/prod/$Project_Name/service-gray.yml | grep name: |  head -n 1 | awk -F ':' '{print \$2}'", returnStdout: true).trim()
                        GrayIngressName = sh(script: "cat $pipeline_dir/prod/$Project_Name/ingress-gray-header.yml | grep name: |  head -n 1 | awk -F ':' '{print \$2}'", returnStdout: true).trim()

                        sh '''
                        echo $pipeline_dir
                        echo "開始部署生產環境"
                        echo "列印編排檔案詳細資訊"

                        if [ -e "$pipeline_dir/prod/$Project_Name/deployment.yml" ]; then
                          cat $pipeline_dir/prod/$Project_Name/deployment.yml | sed  "s/TAG/${Tag}/g"
                          cat $pipeline_dir/prod/$Project_Name/deployment.yml | sed  "s/TAG/${Tag}/g" | /usr/bin/kubectl apply -f  -
                        fi

                        if [ -e "$pipeline_dir/prod/$Project_Name/service.yml" ]; then
                           cat $pipeline_dir/prod/$Project_Name/service.yml
                           cat $pipeline_dir/prod/$Project_Name/service.yml  | /usr/bin/kubectl apply -f  -
                        fi

                        if [ -e "$pipeline_dir/prod/$Project_Name/ingress.yml" ]; then
                          cat $pipeline_dir/prod/$Project_Name/ingress.yml
                          cat $pipeline_dir/prod/$Project_Name/ingress.yml  | /usr/bin/kubectl apply -f  -
                        fi
                        '''
                        if (GrayEnable == 'yes'){
                            sh """
                        kubectl delete deployment ${GrayDeploymentName} -n ${Namespace_Prod}
                        kubectl delete service  ${GrayServiceName} -n ${Namespace_Prod}
                        kubectl delete ingress  ${GrayIngressName} -n ${Namespace_Prod}
                        """
                        }

                    } else {
                        echo "不釋出"
                    }
                }
            }
            post {
                success {
                    wrap([$class: 'BuildUser']) {
                    lark (
                        robot: "2026ab67-7d07-46ec-a309-bebebaeaffbc",
                        type: "CARD",
                        title: "📢  Jenkins 應用釋出成功",
                        text: [
                            "😋 **應用名稱**：[${JOB_NAME}](${JOB_URL})",
                            "😜 **應用環境**：Prod",
                            "🤪 **任務編號**：[${BUILD_DISPLAY_NAME}](${BUILD_URL})",
                            "😘 **釋出狀態**: <font color='green'>成功</font>",
                            "🤩 **映象版本**: $Tag",
                            "😎 **映象倉庫**: harbor.kubesre.com:8443/kubesre/$Project_Name",
                            "😝 **執  行 者**: ${env.BUILD_USER}",
                            "<at id=all></at>"
                        ],
                        buttons: [
                           [
                              title: "更改記錄",
                              url: "${BUILD_URL}changes"
                           ],
                           [
                              title: "控制檯",
                              type: "danger",
                              url: "${BUILD_URL}console"
                           ]
                        ]
                    )}
                }
            }
        } 

驗證

觸發流水線，開發組李四使用者登入：

image

觸發流水線，測試組王五使用者登入：

image

觸發流水線，運維組張三使用者登入：

image新增👇下面微信，拉你進群與大佬一起探討雲原生！

閱讀 13

​

喜歡此內容的人還喜歡

關於Dockerfile的最佳實踐技巧

我常看的號

雲原生運維圈

不喜歡

不看的原因

確定

• 內容低質
• 不看此公眾號內容

Istio最難掌握的7個技術

我看過的號

艾叔程式設計

不喜歡

不看的原因

確定

• 內容低質
• 不看此公眾號內容

Discord為什麼從 GO 遷移到 RUST ？

coding到燈火闌珊

不喜歡

不看的原因

確定

• 內容低質
• 不看此公眾號內容

寫留言

雲原生運維圈

贊分享在看寫留言

人劃線