Jenkins Windows服务无权限复制APK至网络驱动器问题排查

1. 网络驱动器映射的会话隔离问题 #

Windows服务默认运行在Session 0，而用户手动登录的交互式会话是Session 1及以上。网络驱动器映射是会话级别的，Session 0无法识别用户手动创建的驱动器号（比如Z:\）。你手动登录Jenkins用户时能访问的映射驱动器，在Jenkins服务的Session 0里根本不存在，此时File.Copy会因找不到路径抛出权限拒绝错误（系统错误提示易混淆）。

解决办法：

• 放弃驱动器号，直接使用网络共享的UNC路径，比如\\fileserver\sharedfolder\target.apk替代Z:\target.apk。
• 若必须用驱动器号，需在Jenkins服务的Session 0中创建映射：可编写启动脚本，在Jenkins服务启动时执行net use Z: \\fileserver\sharedfolder /user:domain\Jenkins password /persistent:yes，或通过组策略为服务账户配置映射。

2. Kerberos双跳认证失败 #

当Jenkins服务以AD账户运行，从Jenkins服务器访问另一台机器的网络共享时，会出现Kerberos双跳问题：Jenkins服务的凭据无法传递到文件服务器，导致认证失败、权限被拒，即便Jenkins用户拥有共享权限也无效。

解决办法：

• 在AD服务器上为Jenkins用户配置约束委派，允许其委派到文件服务器的cifs服务：
  1. 打开AD用户和计算机，找到Jenkins用户属性。
  2. 切换到「委派」标签，选择「信任此用户用于委派到指定服务」，添加文件服务器的cifs服务。
• 或在C#程序中直接使用带凭据的UNC访问：

var credential = new NetworkCredential("Jenkins", "password", "domain");
var share = new NetworkConnection(@"\\fileserver\sharedfolder", credential);
using (share)
{
    File.Copy("local.apk", @"\\fileserver\sharedfolder\target.apk");
}

3. 权限配置细节遗漏 #

即便给了Jenkins用户共享权限，也可能忽略关键权限项：

• 确保网络共享的共享权限和文件夹NTFS权限都给了Jenkins用户读写权限，且权限继承到子文件夹。
• 检查本地安全策略：打开secpol.msc，在「本地策略-用户权限分配」中，确认Jenkins用户拥有「从网络访问此计算机」权限，未被「拒绝从网络访问此计算机」策略限制。

4. 服务账户的权限限制 #

Windows服务账户即使是管理员，也可能受UAC虚拟化或其他限制影响，无法访问网络资源：

• 打开Jenkins服务属性，切换到「登录」标签，勾选「允许服务与桌面交互」（仅用于排查，不推荐生产环境使用）。
• 确认Jenkins服务未配置为「本地系统账户」，而是明确使用AD的Jenkins用户，且该用户未加入受限制组。

内容的提问来源于stack exchange，提问作者Mr.Sheep