Jenkins Job DSL密钥安全调用：Bitbucket或Jenkins凭证方案咨询

一、Jenkins Job DSL安全获取密钥（从Jenkins凭证读取） #

步骤1：在Jenkins中创建凭证 #

• 进入Jenkins后台 → 管理Jenkins → 管理凭证 → 选择目标域（比如全局域） → 添加凭证
• 选「Secret text」类型，填入令牌值，设置唯一凭证ID（如service-token-1）和描述，保存。

步骤2：在Job DSL脚本中读取凭证 #

有两种常用实现方式：

1. credentials方法注入（推荐）
   直接通过凭证ID获取令牌，无需额外权限审批：

   // 从Jenkins凭证中读取令牌
   def serviceToken = credentials('service-token-1')
   
   // 替换原明文逻辑
   def x = ["service": serviceToken]
   x.each { service, token ->
       // 执行你的x操作
       // 执行你的y操作
   }
   

2. Jenkins凭证API读取
   适合批量读取或复杂逻辑场景，需在「管理Jenkins → 脚本审批」中通过权限校验：

   import com.cloudbees.plugins.credentials.CredentialsProvider
   import com.cloudbees.plugins.credentials.common.StandardCredentials
   
   // 获取全局域下的所有凭证
   def credentialsList = CredentialsProvider.lookupCredentials(
       StandardCredentials,
       Jenkins.instance,
       null,
       null
   )
   
   // 根据ID匹配目标凭证
   def targetCred = credentialsList.find { it.id == 'service-token-1' }
   def serviceToken = targetCred.secret.toString()
   
   // 后续业务逻辑使用token
   def x = ["service": serviceToken]
   x.each { service, token ->
       // 执行操作
   }
   

二、通过Bitbucket Pipelines运行Job DSL脚本 #

可以直接运行，需完成以下配置：

1. 准备Jenkins API访问权限 #

• 给你的Jenkins账号生成API令牌：进入个人设置 → 「API令牌」 → 生成新令牌并保存
• 确保该账号拥有Job创建/修改权限（如「Job/Create」「Job/Configure」）

2. 在Bitbucket配置环境变量 #

• 进入仓库 → 仓库设置 → 管道 → 环境变量
• 添加三个安全变量：
  • JENKINS_URL：你的Jenkins地址（如https://your-jenkins.com）
  • JENKINS_USERNAME：Jenkins用户名
  • JENKINS_API_TOKEN：刚才生成的Jenkins API令牌
    勾选「安全」选项避免明文泄露。

3. 编写Bitbucket Pipelines配置文件 #

在仓库根目录创建bitbucket-pipelines.yml，用curl调用Jenkins API执行脚本：

image: alpine:latest

pipelines:
  default:
    - step:
        name: 执行Job DSL脚本
        script:
          - apk add --no-cache curl
          # 读取本地Job DSL脚本（假设脚本名为job-dsl.groovy）
          - DSL_CONTENT=$(cat job-dsl.groovy)
          # 调用Jenkins Job DSL核心接口执行脚本
          - curl -X POST "${JENKINS_URL}/job/job-dsl-core/buildWithParameters" \
              -u "${JENKINS_USERNAME}:${JENKINS_API_TOKEN}" \
              --data-urlencode "script=${DSL_CONTENT}"

如果已有Jenkins种子Job，也可直接触发种子Job替代上面的curl命令：

- curl -X POST "${JENKINS_URL}/job/seed-job/build" \
    -u "${JENKINS_USERNAME}:${JENKINS_API_TOKEN}"

注意：确保Bitbucket Pipelines能访问Jenkins服务器（无防火墙或网络限制）。

补充：明文令牌替换注意事项 #

• 彻底删除脚本中所有明文令牌，避免提交到代码仓库
• 多服务令牌建议分别创建独立Jenkins凭证，便于权限管控和维护

内容的提问来源于stack exchange，提问作者Mohammed Ehab