Jenkins自动化：如何向角色权限矩阵添加/更新数据

一、Groovy脚本（推荐，直接调用Jenkins内部API） #

Jenkins原生支持Groovy脚本操作内部配置，这是最直接可靠的方式，无需额外插件。脚本可通过Jenkins脚本控制台手动执行，或结合Linux命令批量自动化。

示例脚本（添加LDAP用户/组到权限矩阵） #

import jenkins.model.Jenkins
import hudson.security.GlobalMatrixAuthorizationStrategy

def jenkins = Jenkins.get()
def authStrategy = jenkins.getAuthorizationStrategy()

// 校验当前权限策略类型
if (!(authStrategy instanceof GlobalMatrixAuthorizationStrategy)) {
    println "当前未启用Matrix Authorization Strategy，终止执行"
    return
}

// 定义需分配权限的用户/组及对应权限集合
def permissionMap = [
    "ldap_user_alice": [
        "hudson.model.Hudson.Read",
        "hudson.model.Item.Build",
        "hudson.model.Item.Read"
    ],
    "ldap_group_dev_team": [
        "hudson.model.Hudson.Administer",
        "hudson.model.Item.Create",
        "hudson.model.Item.Delete"
    ]
]

// 批量添加权限
permissionMap.each { principal, perms ->
    perms.each { perm ->
        authStrategy.add(perm, principal)
    }
}

// 保存配置
jenkins.save()
println "权限矩阵更新完成"

自动化执行方式 #

将脚本保存为update_matrix_perms.groovy，用Linux的curl调用Jenkins API执行：

curl -X POST -u "admin_account:admin_api_token" \
  "http://your-jenkins-domain/scriptText" \
  --data-urlencode "script=$(cat update_matrix_perms.groovy)"

注：需提前在Jenkins用户设置中生成API Token，避免使用明文密码。

二、Python脚本（通过Jenkins REST API） #

若偏好Python生态，可使用python-jenkins库通过REST API操作权限矩阵。

操作步骤 #

1. 安装依赖：pip install python-jenkins
2. 示例脚本：

import jenkins

# 连接Jenkins实例
server = jenkins.Jenkins('http://your-jenkins-domain', username='admin_account', password='admin_api_token')

# 校验当前权限策略
auth_config = server.get_security_config()
if auth_config['authorizationStrategy']['_class'] != 'hudson.security.GlobalMatrixAuthorizationStrategy':
    print("当前未启用Matrix Authorization Strategy，终止执行")
    exit()

# 定义待分配的权限规则
new_permissions = {
    "ldap_user_bob": [
        "hudson.model.Hudson.Read",
        "hudson.model.Item.Workspace"
    ],
    "ldap_group_test_team": [
        "hudson.model.Item.Read",
        "hudson.model.Item.Cancel"
    ]
}

# 批量添加权限
for principal, perms in new_permissions.items():
    for perm in perms:
        server.add_matrix_authorization(principal, perm)

print("权限矩阵更新完成")

三、插件替代方案：Role Strategy Plugin #

如果觉得脚本维护繁琐，可切换至Role Strategy Plugin。该插件支持按角色批量管理权限，可直接绑定LDAP组到对应角色，后续LDAP组更新后，Jenkins会自动同步权限（依赖已配置好的LDAP同步）。

核心配置流程 #

1. 安装插件后，将全局权限策略切换为Role-Based Strategy
2. 创建全局/项目级角色，配置对应权限集合
3. 在角色分配页面，将LDAP组直接关联到目标角色，无需手动逐个添加用户

关键注意事项 #

• 直接修改容器内config.xml不可行的原因是Jenkins会缓存配置，修改文件后需重启，且易出现配置不一致问题，官方不推荐此方式
• 所有自动化操作的账号需具备Jenkins管理员权限
• 执行脚本前建议在测试环境验证，避免误操作导致权限混乱

内容的提问来源于stack exchange，提问作者Pasquale Labate