在 Debian 上配置 Jenkins 多用户权限
一 环境准备与基础安全
- 安装并启动 Jenkins（Debian 包源）：
- 执行：
sudo apt update && sudo apt install jenkins
- 启动并设置开机自启：
sudo systemctl start jenkins && sudo systemctl enable jenkins
- 防火墙放行端口（如使用 UFW）：
sudo ufw allow 8080
- 建议始终通过反向代理启用 HTTPS/TLS（如 Nginx/Apache + Let’s Encrypt），避免明文凭据传输。
二 安装并启用基于角色的授权插件
- 登录 Web 管理界面（默认端口 8080），进入：Manage Jenkins → Manage Plugins → Available plugins，搜索并安装 Role-based Authorization Strategy。
- 进入：Manage Jenkins → Configure Global Security，将 Authorization 切换为 Role-Based Strategy 并保存。
- 进入：Manage Jenkins → Manage and Assign Roles，开始创建与分配角色。
三 创建角色与分配权限
- 角色类型与作用
- Global Roles：控制全局能力（如 Overall/Administer、Credentials、Agent/Node 管理等）。
- Item Roles（项目角色）：按项目命名模式控制 Job 的读/建/删/配置/构建/取消等。
- Node Roles：控制对节点/代理的访问与作业执行授权。
- 建议的最小实践
- Global：创建 admin（授予 Overall/Administer）、developer（授予 Job 只读与构建等常用权限）、viewer（只读）。
- Item：为不同团队/项目创建前缀角色，例如 dev-. / test-. / prod-.***，仅授予相应项目权限。
- Node：仅对需要的人授予 Build 或 Configure 节点权限，避免过度授权。
- 分配示例
- 在 Manage and Assign Roles → Assign Roles 中，为用户或用户组勾选对应 Global/Item/Node 角色；未分配任何角色的用户将无任何权限。
四 用户管理与外部认证
- 内置用户
- 进入 Manage Jenkins → Manage Users 创建用户，然后在 Assign Roles 中为用户绑定角色。
- 企业统一认证
- 如需对接 LDAP/AD，在 Configure Global Security 中配置目录服务器信息，授权仍使用 Role-Based Strategy 进行细粒度控制。
- 自助注册（可选）
- 在 Configure Global Security 中可勾选 允许用户注册，便于用户自行创建账号，再由管理员分配角色（生产环境建议关闭并采用集中账号）。
五 验证与运维要点
- 权限验证
- 使用不同账号登录，确认 admin 具备全部管理权限，developer 仅能操作被授权的项目，viewer 仅可查看。
- 安全加固
- 全程使用 HTTPS；限制管理员人数；定期更新 Jenkins 与插件；对关键任务启用 项目矩阵 或 审批 机制。
- 备份与回滚
- 定期备份 /var/lib/jenkins 与 /var/log/jenkins，变更前先导出或快照配置，出现异常可快速回滚。