Jenkins基础教程（102）Jenkins使用微软活动目录：Jenkins与AD的“包办婚姻”：一场自动化与权限的完美邂逅

一趟不用写代码的Jenkins权限管理之旅

01 从烦恼到解脱：Jenkins权限管理的那些事儿

作为一名Jenkins管理员，我至今记得刚开始管理持续集成平台时的混乱场景。团队里不断有人抱怨：“我怎么又登录不进去了？”“这个项目我看不到啊！”“我只是想构建一下，为啥报权限错误？”

那时候，我们每个新员工入职，我都要手动为他们创建Jenkins账户，设置密码，配置权限。员工离职后，账户又不会及时禁用，安全风险悄然而生。

更让人头疼的是，不同项目组需要不同的权限，这权限管理矩阵复杂到需要用Excel表格来记录。

直到我发现了Jenkins与微软活动目录（AD）的集成方案，这一切才彻底改变。AD就像是学校的统一身份认证系统，而Jenkins就像是学校里的各个教学楼。

只要学生是本校录取的（AD认证通过），就可以根据专业和年级（AD组），进入不同的教学楼和教室（Jenkins项目和权限），无需每栋楼单独办理通行证。

这种“包办婚姻”式的集成，不仅减轻了我的管理负担，还大大提高了安全性。今天，我就带大家一步步实现Jenkins与AD的完美邂逅。

02 婚前准备：认识Jenkins和AD这对“新人”

在介绍Jenkins与AD“联姻”之前，我们先来了解一下这对“新人”各自的特性。

Jenkins，可以把它想象成一个不知疲倦的开发助手，24小时待命，随时准备帮你完成那些重复性的构建和部署工作。

它的强大之处在于丰富的插件生态系统，几乎可以与任何开发工具集成。但是，原生Jenkins的用户管理功能相对简单，特别是在大型团队中，维护成本很高。

微软活动目录（AD），则是企业内部的身份认证中心，相当于企业的“公安局”，负责管理所有员工的身份信息和访问权限。

它维护着整个组织的用户账户、计算机账户和组策略。当Jenkins遇见AD，就像是高效的流水线遇到了专业操作工，二者结合能够为企业提供强大的自动化构建与权限管理能力。

那么，这对“新人”结合后，能带来哪些实际好处呢？

首先，用户管理变得简单高效。员工使用AD账户即可登录Jenkins，无需记住另一套用户名和密码。员工离职时，禁用AD账户即可自动失去所有系统访问权限。

其次，权限控制更加精细。可以基于AD中的组关系，自动分配Jenkins中的权限角色。开发人员只能看到自己相关的项目，运维人员则有部署权限，管理人员可以查看所有项目状态。

最后，安全性大大提高。通过AD的统一安全管理策略，可以强制实施密码复杂度、定期更换等安全措施，减少因为账户泄露导致的安全风险。

03 婚前筹备：环境准备与插件安装

任何一段美好的“婚姻”都离不开充分的婚前准备，Jenkins与AD的集成也是如此。我们需要准备以下环境：

• 一个正常运行的Jenkins实例（版本2.346.3或更高）
• 可访问的微软活动目录环境
• 网络连通性确保Jenkins服务器可以访问AD域控制器
• 一个具有AD查询权限的服务账户（建议只读权限）

在实际安装插件前，我们先来认识一下这场“婚姻”中不可或缺的两个“媒人”：

Active Directory插件：这个插件是Jenkins与AD之间的“翻译官”，它负责与AD域控制器通信，将AD中的用户和组信息“翻译”成Jenkins能理解的身份信息。

Role-based Authorization Strategy插件：这个插件是Jenkins权限管理的“调度中心”，它负责基于角色来分配权限，确保每个用户只能访问被授权的资源。

安装这两个“媒人”的步骤非常简单：

1. 登录Jenkins，点击左侧菜单中的"Manage Jenkins"（管理Jenkins）
2. 选择"Manage Plugins"（管理插件）
3. 切换到"Available"（可用插件）选项卡
4. 在搜索框中输入"Active Directory plugin"
5. 在搜索结果中找到该插件，勾选它
6. 同样方法搜索并勾选"Role-based Authorization Strategy"