宛先ディレクトリへの権限がない場合に、Jenkins の「ビルド後」アクションとしてファイルをコピーする方法

Question

次のユーザーの「アーキテクチャ」があります:

1. ルートアクセスは無効です。
2. 管理者ユーザーはホームディレクトリにのみアクセスできます。
3. Apache はルート サービスとして実行されます (Web サーバーのファイルにアクセスできるのはルートのみです)
4. 「管理者」権限でプロジェクトをビルドする Jenkins CI をインストールしました。

ビルド後のアクションとして、最新のビルド ファイルを Web サーバーの場所にコピーしたいと思います。宛先ディレクトリにアクセスできるのが「root」ユーザーだけの場合、どうすればこれを実現できますか? そもそも「ユーザー アーキテクチャ」が間違っているのでしょうか?

Answer 1

そもそも私の「ユーザー アーキテクチャ」が間違っているのでしょうか?

はい。残念ですが、これが現状です。変更方法は次のとおりです。

1. Apacheを独自のユーザーとして実行します。できればchrootで実行してください。これは最小権限の原則と呼ばれ、何かが侵害された場合に発生する可能性のある損害を制限するという考え方です。意思危険にさらされても、そこから作業を進めてください。特権ユーザーとして Apache を実行する理由はありません。
2. Jenkins CI を独自のユーザーとして実行します。同じ原則が適用されます。
3. ファイルが Web サーバー ディレクトリに届くように、何らかの方法を用意します。たとえば、Jenkins ユーザーを Apache グループに追加します。これにより、Jenkins ビルド サーバーが Web サーバー ディレクトリにアクセスできるようになります。さらに安全な方法は、Apache ユーザーとして cron ジョブまたは systemd タイマーを実行し、それを使用してファイルをコピーすることです。なぜこれがより安全なのでしょうか。Jenkins が侵害された場合、攻撃者は Web サーバー ディレクトリにアクセスできなくなります。