如何将带有密码的maven settings.xml放在源代码管理中

Question

我正在为 jenkins 奴隶构建一个 docker 映像。该詹金斯奴隶将不得不向/从工件存储库推送和拉取工件。

这适用于 Java 和 maven 项目。所以我需要在我的 docker 容器中有一个 settings.xml，以便我可以在多个私有存储库中进行身份验证。

我的想法是在 Dockerfile 中复制一个 settings.xml，但因为它包含敏感信息（用户名、密码），所以我担心安全性。我可以在源代码管理中加密此内容吗？更重要的是，我可以避免人们仅仅下载这个文件并能够使用加密的凭据吗？理想情况下，我应该有一种机制来确保加密文件只能在 docker 容器的上下文中工作。

Answer 1

据我了解，上传凭据应仅对 jenkins slave 可用。这里有几个选项：

1. 仅为詹金斯奴隶创建特殊的 settings.xml。禁止除 admin 以外的所有用户访问 jenkins slave，因此密码是安全的。每个人都将使用另一个带有凭据的 settings.xml 仅用于下载。

2. 使用环境变量参数化 settings.xml：

   <server>
      <id>repo</id>
      <username>${env.REPO_USER}</username>
      <password>${env.REPO_PASSWORD}</password>
    </server>
   

在 jenkins 从属服务器上，REPO_USER/PASSWORD 将使用凭据插件进行设置：https://support.cloudbees.com/hc/en-us/articles/203802500-Injecting-Secrets-into-Jenkins-Build-Jobs。 用户将此变量设置为仅下载凭据。