Google IAP代理后JWT认证远程触发Jenkins任务遇403问题

1. 验证Crumb获取的有效性 #

先确认你获取Crumb的请求是否返回了正确内容：

# 输出详细请求过程，检查返回值格式
curl -v -H "Authorization: Bearer ${IAP_TOKEN}" "${URL}/crumbIssuer/api/xml?xpath=concat(//crumbRequestField,\":\",//crumb)"

如果返回结果不是Jenkins-Crumb:xxxxxxxxx这类格式，说明Crumb获取失败，大概率是JWT令牌对应的身份没有访问Crumb Issuer的权限。需要在Jenkins权限矩阵中给该身份添加Overall/Read权限（Crumb Issuer依赖此权限）。

2. 调整JWT-Auth插件的CSRF豁免配置 #

你用的是JWT-Auth插件而非传统用户名+API Token认证，日志提示并不完全适配当前场景。可以尝试开启插件的CSRF豁免：

• 进入Jenkins > 系统管理 > 全局安全配置
• 找到JWT Authentication配置项，勾选类似“Skip CSRF validation for JWT authenticated requests”的选项
• 保存配置后重新测试构建触发

3. 配置CSRF路径豁免（安全可控范围内） #

如果JWT-Auth插件无上述选项，可针对构建触发路径添加CSRF豁免：

• 进入Jenkins > 系统管理 > 全局安全配置
• 找到CSRF保护，点击“高级”按钮
• 在“路径豁免”中添加规则，比如：

  /job/*/build
  /job/*/buildWithParameters
  

• 保存后测试，注意尽量缩小豁免范围以保证安全

4. 确认IAP代理的请求头传递 #

检查Google IAP代理是否完整转发请求头：

• 确保IAP未移除或修改Authorization头及Crumb对应的请求头（如Jenkins-Crumb）
• 可在Jenkins服务器启用访问日志，查看实际收到的请求头是否包含这两个字段，确认未被IAP篡改

5. 检查Jenkins权限配置 #

确保JWT令牌对应的身份（GCP服务账号或关联Jenkins用户）拥有足够权限：

• 进入Jenkins > 系统管理 > 管理用户，找到JWT对应的用户
• 检查该用户在目标任务（abc）上是否拥有Job/Build权限
• 若使用权限矩阵，需确认全局或任务级权限中已为该用户分配Build权限

临时测试方案（不推荐生产环境） #

如果以上方法无法快速定位，可临时关闭Crumb检查验证问题根源：

• 进入Jenkins > 系统管理 > 全局安全配置
• 取消勾选“防止跨站点请求伪造”
• 测试POST触发构建是否成功，若成功则问题确实出在Crumb与JWT认证的交互上，恢复CSRF保护后再尝试上述安全方案

内容的提问来源于stack exchange，提问作者P.Cichocki