除了 chmod g+r /etc/shadow 之外，还有什么更好的做法，以便我可以使用 Unix 用户/组数据库进行 Jenkins 身份验证？

Question

我不想以 root 身份运行 Jenkins，而且授予 /etc/shadow 公共访问权限（甚至组访问权限）似乎也不是一个好主意。

按照“管理 Jenkins”在选择 Linux 用户/组数据库时的建议：“Jenkins 需要以 root 身份运行，或者用户‘httpd’需要属于组 root，并且需要执行‘chmod g+r /etc/shadow’以使 Jenkins 能够读取 /etc/shadow”

从安全角度来看，在运行 Jenkins 并且仍然能够以超级用户身份执行某些任务（以防我的工作需要）时，最佳做法是什么

Answer 1

更好的做法是使用 pwauth 插件，它允许你以非 root 用户身份运行 jenkins，并且只pwauth 本身需要 setuid root 来执行实际的身份验证。