Security of running jobs · Gitlab 中文文檔

# Security of running jobs > 原文：[https://docs.gitlab.com/runner/security/](https://docs.gitlab.com/runner/security/) * [Usage of Shell executor](#usage-of-shell-executor) * [Usage of Docker executor](#usage-of-docker-executor) * [Usage of private Docker images with `if-not-present` pull policy](#usage-of-private-docker-images-with-if-not-present-pull-policy) * [Systems with Docker installed](#systems-with-docker-installed) * [Usage of SSH executor](#usage-of-ssh-executor) * [Usage of Parallels executor](#usage-of-parallels-executor) * [Cloning a runner](#cloning-a-runner) # Security of running jobs[](#security-of-running-jobs "Permalink") 使用 GitLab Runner 時，您應該在運行作業時意識到潛在的安全隱患. ## Usage of Shell executor[](#usage-of-shell-executor "Permalink") **通常，使用`shell`執行程序運行測試是不安全的.** 這些作業在用戶權限（GitLab Runner 的權限）下運行，并且可以從此服務器上運行的其他項目中竊取代碼. 僅將其用于運行受信任的構建. ## Usage of Docker executor[](#usage-of-docker-executor "Permalink") **在非特權模式下運行時，可以認為 Docker 是安全的.** 為了使這種設置更加安全，建議在 sudo 禁用或`SETUID`和`SETGID`功能已禁用的 Docker 容器中以用戶（非 root 用戶）身份運行作業. 另一方面，存在特權模式，該模式允許對主機系統的完全訪問權限，安裝和卸載卷的權限以及運行嵌套容器. 不建議在特權模式下運行容器. 可以通過`cap_add` / `cap_drop`設置在非特權模式下配置更精細的權限. ## Usage of private Docker images with `if-not-present` pull policy[](#usage-of-private-docker-images-with-if-not-present-pull-policy "Permalink") 使用[高級配置中](../configuration/advanced-configuration.html#using-a-private-container-registry)描述的私有 Docker 映像支持時[：使用私有容器注冊表時](../configuration/advanced-configuration.html#using-a-private-container-registry) ，應`always`將其`pull_policy`值. 尤其是你應該使用`always`拉的政策，如果你正在主持一個公共，共享亞軍與泊塢窗或 Kubernetes 執行人. 讓我們來看一個將拉策略設置為`if-not-present`的示例： 1. 用戶 A 在`registry.example.com/image/name`具有私有映像. 2. 用戶 A 在共享運行器上啟動構建：該構建接收注冊表憑據，并在注冊表中授權后提取映像. 3. 圖像存儲在共享的 Runner 主機上. 4. 用戶 B 無法訪問`registry.example.com/image/name`上的私有映像. 5. 用戶 B 在與用戶 A 相同的共享 Runner 上啟動使用此映像的構建：Runner 找到該映像的本地版本并使用它， **即使由于缺少憑據也無法提取該映像** . 因此，如果托管的 Runner 可以由不同的用戶和不同的項目使用（具有私有和公共訪問權限的混合級別），則永遠不要使用`if-not-present`作為拉策略值，而應使用： * `never` -如果您想限制用戶使用您預先下載的唯一圖像. * `always` -如果您想讓用戶可以從任何注冊表下載任何圖像. `if-not-present`拉策略**僅**應用于受信任的構建和用戶使用的特定運行器. 閱讀[拉取策略文檔](../executors/docker.html#how-pull-policies-work)以獲取更多信息. ## Systems with Docker installed[](#systems-with-docker-installed "Permalink") > **注意：**這適用于低于 0.5.0 的安裝或已升級到較新版本的安裝. 在安裝了 Docker 的 Linux 系統上安裝軟件包時， `gitlab-runner`將創建一個有權訪問`Docker`守護程序的用戶. 這使使用`shell` executor 運行的作業能夠以完全權限訪問`docker` ，并可能允許對服務器的根訪問. ## Usage of SSH executor[](#usage-of-ssh-executor "Permalink") 由于缺少`StrictHostKeyChecking`選項， **SSH 執行程序容易受到 MITM 攻擊（中間人）** . 這將在將來的版本之一中修復. ## Usage of Parallels executor[](#usage-of-parallels-executor "Permalink") **Parallels executor 是最安全的選擇，**因為它使用完整的系統虛擬化，并且配置為在隔離虛擬化中運行的 VM 機器和配置為以隔離模式運行的 VM 機器. 它阻止訪問所有外圍設備和共享文件夾. ## Cloning a runner[](#cloning-a-runner "Permalink") 跑步者使用令牌來標識 GitLab 服務器. 如果克隆一個運行程序，則克隆的運行程序可能正在為該令牌選擇相同的作業. 這是"竊取"跑步者工作的一種可能的攻擊手段.