Linux 上 Jenkins 多用户管理的落地方案
一 核心思路与准备
- 在 Linux 服务器上，Jenkins 的多用户管理通常包含三部分：
- 身份认证（谁来登录）；2) 授权策略（能做什么）；3) 按项目/视图的细粒度权限（看到并操作哪些资源）。
- 推荐安装插件：Role-based Authorization Strategy，它提供 Global Roles / Item Roles / Node Roles 三层授权，便于按项目模式隔离与授权。
- 安全基线：启用安全、使用强认证、最小权限分配，并准备回滚方案（见文末“故障恢复”）。
二 安装与启用 Role-based Authorization Strategy
- 安装插件：进入 Manage Jenkins → Manage Plugins → Available，搜索并安装 Role-based Authorization Strategy，按提示重启。
- 启用策略：进入 Manage Jenkins → Configure Global Security，勾选 Enable security，在 Authorization 选择 Role-Based Strategy 并保存。
- 打开角色管理：此时左侧会出现 Manage and Assign Roles，用于后续创建与分配角色。
三 配置角色与分配用户
- 创建角色（Manage Roles）
- Global Roles：如 admin（赋予 Overall/Administer 等）、read-only（仅 Overall/View 只读）。
- Item Roles：按项目命名空间/前缀隔离，例如 dev-. / test-. / prod-.***，为不同团队授予 Build、Cancel、Read、Configure、Delete 等细粒度权限。
- Node Roles：可按节点标签限制 Agent/Executor 的使用范围（可选）。
- 分配角色（Assign Roles）
- 在 Assign Roles 将用户或用户组绑定到上一步的角色；未分配角色的用户将默认无权限。
- 验证
- 使用不同账号登录，确认仅能看到并操作被授权的项目与功能，符合最小权限原则。
四 身份认证方式与账户来源
- 内置数据库：在 Manage Jenkins → Manage Users 直接创建账号，适合小规模或测试环境。
- 外部身份源（推荐生产使用）：
- LDAP/Active Directory：统一账号与组管理，便于与公司目录对齐。
- GitLab Authentication：对接 GitLab 账号/SSO，适合已使用 GitLab 的研发体系。
- 选择建议：优先使用外部 IdP，结合组/项目命名规范与角色映射，降低账号维护成本与安全风险。
五 安全加固与故障恢复
- 安全加固
- 在 全局安全配置 中启用 CSRF 保护；仅开放必要端口（默认 8080），并建议启用 HTTPS 保护凭据与会话。
- 谨慎分配 Overall/Administer，遵循最小权限；定期审计用户与角色绑定。
- 故障恢复（误删管理员或策略锁死）
- 快速回滚：停止 Jenkins → 备份 $JENKINS_HOME/config.xml → 将 true 改为 false → 启动后在无认证状态下恢复安全配置 → 重新启用 Role-Based Strategy 并恢复角色分配。
- 生产环境建议先备份 $JENKINS_HOME（含 jobs/、users/、config.xml 等）再变更。
