Ubuntu 上 Jenkins 权限设置实操指南
一 系统与服务账户权限
- 默认以系统用户 jenkins 运行，相关目录应归该用户所有，避免因权限不足导致构建、拉代码、写日志失败。建议执行：
- 修正目录属主：
sudo chown -R jenkins:jenkins /var/lib/jenkins /var/cache/jenkins /var/log/jenkins
- 重启生效：
sudo systemctl restart jenkins
- 如需变更运行用户，可编辑 /etc/default/jenkins 中的 JENKINS_USER，然后重启；不建议使用 root 运行，存在安全风险。
- 排查权限类故障时，优先查看服务状态与日志：
sudo systemctl status jenkins、sudo tail -n 50 /var/log/jenkins/jenkins.log，可快速定位“权限被拒绝”等问题。
二 Web 界面认证与授权
- 启用安全：进入 Manage Jenkins → Configure Global Security，勾选 Enable security。
- 安全域（Security Realm）：常用选择为 Jenkins’ own user database（内置账户）；也可根据企业环境选择 LDAP 等集中认证方式。
- 授权策略（Authorization）：
- Matrix-based security：以用户/组为维度精细控制全局与项目权限，适合小团队快速落地。
- Project-based Matrix Authorization Strategy：在项目维度叠加权限，便于按项目隔离。
- Role-Based Strategy（推荐）：通过“全局角色/项目角色/Agent 角色”统一管理，适合多项目、多团队规模化治理。
三 基于角色的权限模型 RBAC 实施步骤
- 安装插件：进入 Manage Jenkins → Manage Plugins，搜索并安装 Role-based Authorization Strategy。
- 全局启用：在 Configure Global Security → Authorization 选择 Role-Based Strategy。
- 角色设计建议：
- 全局角色：如 admin（全权）、read-only（只读）。
- 项目角色：按命名空间/项目前缀划分，如 dev-. / prod-. / test-.***，分别授予构建、取消、配置、视图等权限。
- Agent 角色：控制节点/代理的创建、删除、配置权限。
- 角色分配：进入 Manage Jenkins → Manage and Assign Roles，先 Manage Roles 定义角色与权限，再 Assign Roles 将用户/组绑定到对应角色；完成后用不同账号登录验证权限边界。
四 常见场景与最佳实践
- 最小权限原则：生产环境避免给普通开发者 Overall/Administer，仅授予其所属项目的必要权限（构建、查看、工作空间读写等）。
- 版本与插件安全：定期更新 Jenkins 与插件，及时修复安全漏洞；谨慎引入不再维护的插件。
- 传输加密与访问控制：建议启用 HTTPS（Nginx/Apache 反向代理或内置），并配合 ufw 等防火墙仅开放必要端口（如 8080/443）。
- 审计与合规：开启并定期审查操作日志，对关键操作（如凭据变更、系统配置）设置审批与留痕。