security - 如何通过 Web Deploy 服务保护 TeamCity 部署？

Question

我的团队使用 TeamCity用于持续集成。它将通过 Web Deploy 构建、测试和部署 Web 应用程序到 dev 和 qa 网络服务器。棘手的部分是部署到生产 Web 服务器 - 我们的政策规定开发人员不能部署到生产，只有系统管理员可以。

我们目前的方法是让 TeamCity 构建一个 Web 部署包，管理员可以下载并安装在生产 Web 服务器上。但是，我们希望允许他们在构建配置上简单地单击“运行”，但我们不确定如何保护该按钮。

我们可以创建一个只有管理员才能访问的 TeamCity 项目，但我们还必须解决 Web 部署安全问题。 Web Deploy 服务需要使用生产服务器上的本地管理员帐户进行身份验证。我们不希望开发人员访问构建脚本中的用户名/密码，也不希望每个构建代理都以此帐户运行，因为开发人员可以创建一个构建，使用它来部署到生产环境。

我没有太多运气找到有关 TeamCity 安全/部署最佳实践的资源，但我无法想象我们是这种情况下唯一的公司。其他人如何管理自动化部署安全？

Answer 1

首先，在实时服务器上自动部署不是一个好主意。部署应该是自动化的，直到分阶段。如果您仍然想这样做，ez，简短而安全的方法是使用 Ant 脚本。编写一个简短的脚本来使用 SSH 或 sftp 并完成部署。您可以为您的项目创建两个配置文件，并在管理员部署 Pro 的“构建步骤”中添加一个额外的步骤。