Внешнее хранилище учетных данных Jenkins на CyberArk

Question

Внешнее хранилище учетных данных Jenkins на CyberArk

Как использовать внешнее хранилище CyberArk для хранения учетных данных в бесплатной версии Jenkins?
Здесь вы можете найти информацию о стандартном плагине jenkins credentials, который предоставляет API для внешнего хранилища.
Но, покопавшись в сети, я обнаружил, что:
1. Хранилище Cyberark доступно только на Cloudbees Jenkins
2. Плагин HarshiCorp vault доступен бесплатно
3. Вот хороший пример того, как неправильная политика разрешений может привести к раскрытию всех учетных данных. Я попробовал, работает как по волшебству!:)

3

jenkins-plugins credentials cyber-ark

Источник

user5974505 01 янв '18 в 11:45

2 ответа

Другие вопросы по тегам jenkins-plugins credentials cyber-ark

user5974505 07 авг '19 в 17:05 2019-08-07 17:05 · Answer 1 · 2019-08-07 17:05

Похоже, что CyberArk выпустила плагин Jenkins, который поддерживает этот сценарий:https://docs.cyberark.com/Product-Doc/OnlineHelp/AAM-DAP/Latest/en/Content/Integrations/jenkins.htm

1

Источник

user5974505 07 авг '19 в 17:05

user656069 02 мар '18 в 18:42 2018-03-02 18:42 · Answer 2 · 2018-03-02 18:42

Вы действительно не хотите хранить учетные данные (или секретный секрет) в Jenkins. Это не хранилище и никогда не должно использоваться как единое целое. В противном случае ваши серверы Jenkins станут основной целью для злоумышленников.

Вместо этого, интегрируйте ваши конвейеры Jenkins, чтобы безопасно передавать секреты исполнителям только при необходимости и отбрасывать, когда работа по сборке / тестированию завершена. Это легко сделать с помощью чего-то вроде Summon, который уже интегрирован со многими хранилищами, включая Conjur (который также является продуктом CyberArk). Оба предложения с открытым исходным кодом.

Этот пост в блоге описывает подход к интеграции Jenkins с хранилищем в соответствии с тем, что я описал выше.

user9254727 23 янв '18 в 04:18 2018-01-23 04:18 · Answer 3 · 2018-01-23 04:18

Вы можете посмотреть на https://github.com/tmobile/t-vault. Это избавит от необходимости управлять политиками. Вы можете создать один сейф для папки проекта или задания в Jenkins.

Вы можете создавать одобрения и предоставлять доступ к безопасным для одобрения. Каждый проект может использовать соответствующий подход. Вы также можете предоставить доступ к сейфу отдельным лицам. Затем пользователи могут использовать webui для создания и обновления секретов.