Comment configurer Jenkins avec SSL à l’aide d’un proxy inverse Nginx

Par défaut, Jenkins est livré avec son propre serveur Web Winstone intégré qui écoute sur le port 8080, ce qui est pratique pour commencer. Dès que vous envisagez sérieusement d’utiliser Jenkins, vous devez le sécuriser avec SSL pour protéger les mots de passe et autres données sensibles transmises via l’interface Web.

Dans ce didacticiel, nous montrerons comment configurer Nginx en tant que proxy inverse pour diriger les demandes des clients vers Jenkins. Pour commencer, vous devez remplir chacun des prérequis ci-dessous.

One Ubuntu 16.04 server configuré avec un utilisateursudo non root et un pare-feu en suivant lesUbuntu 16.04 initial server setup guide avec Jenkins et Nginx installés et configurés à l'aide des guides suivants:

Lorsque vous avez rempli ces conditions, vous êtes prêt à commencer.

[[step-one -—- configuring-nginx]] == Étape un - Configuration de Nginx

Dans le didacticiel des prérequis,How to Secure Nginx with Let’s Encrypt on Ubuntu 16.04, nous avons configuré Nginx pour utiliser SSL dans le fichier/etc/nginx/sites-available/default, nous allons donc ouvrir ce fichier pour ajouter nos paramètres de proxy inverse.

Tout d'abord, nous allons ajouter des journaux d'accès et d'erreurs spécifiques dans le blocserver avec les paramètres de configuration SSL:

/etc/nginx/sites-available/default

Ensuite, nous allons configurer les paramètres du proxy. Puisque nous envoyons toutes les requêtes à Jenkins, nous allons commenter la ligne par défauttry_files qui, telle qu'elle est écrite, renverra une erreur 404 avant que la requête n'atteigne Jenkins.

/etc/nginx/sites-available/default

Ensuite, nous ajouterons les paramètres de proxy réels. La configuration commence par inclure lesproxy_paramsfournis par Nginx qui garantissent que des informations telles que le nom d'hôte, le protocole de la demande du client et l'adresse IP du client sont conservées seront disponibles dans nos fichiers journaux. Ensuite, leproxy_pass définit le protocole et l'adresse du serveur proxy, qui dans notre cas est le serveur Jenkins accédé sur l'hôte local sur le port 8080. Ensuite, nous augmentons lesproxy_read_timeout de 60 secondes par défaut de Nginx à la valeur recommandée de 90 secondes du projet. Et enfin, nous ajoutons lesproxy_redirect pour nous assurer que lesresponses are properly rewritten incluent le nom d'hôte correct.

Assurez-vous de remplacer votre nom de domaine sécurisé SSL dans la ligneproxy_redirect ci-dessous:

/etc/nginx/sites-available/default

Une fois ces modifications apportées, enregistrez et quittez le fichier. Nous n’allons pas redémarrer Nginx avant d’avoir configuré Jenkins, mais nous allons maintenant tester notre configuration:

Si tout va bien, la commande retournera:

Sinon, corrigez les erreurs signalées jusqu'à la réussite du test.

[.Remarque]##

Note:
Si vous configurez mal lesproxy_pass (en ajoutant une barre oblique à la fin, par exemple), vous obtiendrez quelque chose de similaire à ce qui suit dans votre page de configuration Jenkins.

Si vous voyez cette erreur, revérifiez vos paramètresproxy_pass etproxy_redirect dans la configuration Nginx.

[[step-two -—- configuring-jenkins]] == Deuxième étape - Configuration de Jenkins

Pour que Jenkins fonctionne avec Nginx, nous devons mettre à jour la configuration Jenkins afin que le serveur Jenkins n'écoute que sur l'interfacelocalhost plutôt que sur toutes les interfaces (0.0.0.0). Si Jenkins écoute sur toutes les interfaces, alors il est potentiellement accessible sur son port d'origine non chiffré (8080).

Nous modifierons le fichier de configuration de/etc/default/jenkins pour effectuer ces ajustements.

Localisez la ligneJENKINS_ARGS et ajoutez--httpListenAddress=127.0.0.1 aux arguments existants:

/etc/default/jenkins

Enregistrez et quittez le fichier.

Pour utiliser les nouveaux paramètres de configuration, nous allons redémarrer Jenkins et Nginx.

Étant donné quesystemctl n'affiche pas la sortie, nous vérifierons l'état:

Nous devrions voir l'état deactive (exited) dans la ligneActive:

Nous allons répéter ces étapes pour Nginx:

Maintenant que nous avons redémarré les deux serveurs, nous devrions pouvoir visiter le domaine via HTTP ou HTTPS. Les requêtes HTTP seront automatiquement redirigées vers HTTPS et le site Jenkins sera servi en toute sécurité.

[[step-three -—- testing-the-configuration]] == Étape trois - Test de la configuration

Nous allons tester la configuration en réinitialisant le mot de passe administratif maintenant que nous avons activé le cryptage. Nous allons commencer par visiter le site viahttp pour vérifier que nous atteignons Jenkins et que nous sommes redirigés vershttps comme prévu:

Dans votre navigateur Web, saisissez «http: //your.ssl.domain.name», en remplaçant votre domaine paryour.ssl.domain.name. Après avoir appuyé sur entrée, l'URL doit commencer parhttps et la barre d'adresse doit indiquer que la connexion est sécurisée.

Nous allons entreradmin dans le champ "Utilisateur" et le mot de passe généré automatiquement que Jenkins a créé et stocké lors de son installation.

Si vous avez réinitialisé le mot de passe de l’administrateur, entrez-le plutôt. Dans tous les cas, une fois que nous nous sommes connectés, nous modifierons le mot de passe pour nous assurer qu’il est sécurisé.

Cliquez sur «admin» dans le coin supérieur droit et sélectionnez «Configurer» dans le menu déroulant. Entrez et confirmez le nouveau mot de passe et cliquez sur «Enregistrer». Vous pouvez maintenant utiliser l'interface Web Jenkins en toute sécurité.