Debian 上 Jenkins 多用户权限配置指南
一 环境准备与基础安全
- 安装与启动：在 Debian 上安装 Jenkins 并启动服务，默认监听 8080 端口。
- 命令：sudo apt update && sudo apt install jenkins -y
- 命令：sudo systemctl start jenkins && sudo systemctl enable jenkins
- 安全加固：
- 建议启用 HTTPS（可用 Let’s Encrypt 获取免费证书），避免凭据明文传输。
- 在 “Manage Jenkins → Configure Global Security” 中启用安全矩阵或基于角色的授权，避免长期使用 “登录用户可以做任何事”。
二 安装并启用基于角色的授权插件
- 进入 “Manage Jenkins → Manage Plugins”，在 Available 中搜索并安装 Role-based Authorization Strategy 插件，安装完成后重启 Jenkins。
- 进入 “Manage Jenkins → Configure Global Security”，将 Authorization 切换为 Role-Based Strategy 并保存。
- 保存后，左侧会出现 “Manage and Assign Roles” 入口，用于后续角色与权限配置。
三 创建角色与分配权限
- 创建角色（Manage and Assign Roles → Manage Roles）：
- Global Roles（全局角色）：用于控制系统级权限，建议至少授予 Overall/Read，否则用户登录后可能看不到界面。
- Item Roles（项目角色）：通过 Pattern（正则表达式）匹配 Job/项目 名称，精细化授予构建、取消、查看等权限。
- Node Roles（节点角色）：控制 Agent/节点 相关操作权限（可按需启用）。
- 分配角色（Manage and Assign Roles → Assign Roles）：
- 在 User/group to add 中添加 用户或组，勾选对应的 Global/Item/Node 角色。
- 权限生效遵循“项目角色优先于全局角色”的原则，当同一用户同时拥有全局与项目角色时，项目内的权限以项目角色为准。
四 用户管理与验证
- 创建用户：进入 “Manage Jenkins → Manage Users”，新建 开发/测试/运维 等用户账户，用于后续分配角色。
- 分配与验证：
- 回到 “Manage and Assign Roles → Assign Roles”，为不同用户分配对应角色。
- 创建若干 Job（如 **dev-.、test-.、prod-.*）并用不同账号登录验证：是否能按角色访问、构建、取消、查看等，确保最小权限原则落地。
五 进阶与常见问题
- 外部认证：如需对接企业目录，可在 “Configure Global Security” 中配置 LDAP 等统一认证方式，再结合 Role-Based Strategy 做细粒度授权。
- 安全建议：始终开启 HTTPS；变更授权策略前在测试环境验证，避免误配导致无法登录或权限异常。
- 常见误区：
- 未授予 Overall/Read 导致登录后空白或无界面。
- 误以为修改 /etc/default/jenkins 中的 JENKINS_USER=jenkins-admin 能改变 Web 登录的授权模型；该变量仅影响 Jenkins 进程运行的系统用户，与 Jenkins 内部用户与授权 无关，授权应通过插件与 “Configure Global Security” 完成。