如何在Jenkins中实现用户可运行下游流水线的权限管控？

一、纠正RBAC插件的认知 #

RBAC插件不止能限制文件夹访问权限，它可以细化到单个Job的执行、配置等权限，甚至支持基于角色的权限分配。不过你需要的是在配置阶段就过滤出用户可执行的Job，或者在流水线中校验权限，下面分两种场景给出实现方案。

二、实现动态下拉菜单（推荐） #

使用Jenkins的Active Choices插件（需提前安装），可以在配置页面生成仅包含当前用户有权限执行的Job的下拉菜单，完全避免用户输入非法Job名称的问题。

实现步骤： #

1. 在流水线的参数配置中，添加「Active Choices Parameter」
2. 参数类型选择「Single Select」或「Multi Select」（根据串行多个Job的需求选择）
3. 在「Groovy Script」中编写如下代码，获取当前登录用户可执行的Job列表：

import hudson.model.*
import jenkins.model.Jenkins
import hudson.security.ACL

// 获取当前登录用户
def currentUser = User.current()
if (!currentUser) {
    return ["请先登录"]
}

def jenkins = Jenkins.get()
def allowedJobs = []

// 遍历所有Job，过滤出当前用户有BUILD权限的Job
jenkins.getAllItems(Job).each { job ->
    // 检查用户对该Job是否有BUILD权限
    if (ACL.hasPermission(currentUser.impersonate(), job, Item.BUILD)) {
        // 可选：仅保留指定文件夹下的Job
        // if (job.getParent().getFullName().startsWith("你的目标文件夹路径")) {
            allowedJobs.add(job.getFullName())
        // }
    }
}

return allowedJobs ?: ["无可用Job"]

4. 保存配置后，用户在配置页面看到的下拉选项就只会是自己有权限执行的Job，无需手动输入。

三、文本框输入的权限校验方案 #

如果无法使用Active Choices插件，可保留文本框输入，在流水线启动前或执行时校验输入的Job是否在用户有权限的列表中。

实现要点： #

1. 首先需要在参数提交时记录当前操作的用户（因为流水线默认以SYSTEM用户运行，无法直接获取操作用户）：

   • 添加「String Parameter」，名称设为REQUEST_USER，开启「Use Groovy script」选项，默认值填充如下代码：

     return User.current()?.getId() ?: "anonymous"
     

2. 在流水线脚本中，校验输入的Job名称是否属于该用户有权限执行的范围：

import hudson.model.*
import jenkins.model.Jenkins
import hudson.security.ACL

def targetJobs = params.TARGET_JOBS.split(",") // 假设多Job用逗号分隔
def requestUser = User.getById(params.REQUEST_USER, false)

if (!requestUser) {
    error("无法获取操作用户，禁止执行")
}

def jenkins = Jenkins.get()
def allowedJobFullNames = []

// 获取用户有权限执行的所有Job
jenkins.getAllItems(Job).each { job ->
    if (ACL.hasPermission(requestUser.impersonate(), job, Item.BUILD)) {
        allowedJobFullNames.add(job.getFullName())
    }
}

// 校验每个输入的Job是否在允许列表中
targetJobs.each { jobName ->
    def fullJobName = jobName.trim()
    if (!allowedJobFullNames.contains(fullJobName)) {
        error("你无权执行Job: ${fullJobName}，任务终止")
    }
}

// 后续执行串行Job的逻辑
targetJobs.each { jobName ->
    build job: jobName.trim()
}

补充说明： #

• 如果需要严格限制仅指定文件夹下的Job，可以在过滤时添加文件夹路径判断，比如job.getParent().getFullName().equals("指定文件夹名称")
• 确保Jenkins脚本安全策略允许执行上述Groovy代码（在「Manage Jenkins」→「In-process Script Approval」中审批相关方法）

内容的提问来源于stack exchange，提问作者Alex