跨GCP项目Jenkins对接Black Duck IAP认证失败求助

以下是几个可行的实现方案：

方案1：通过GCP服务账号在Jenkins中自动生成IAP令牌 #

1. 在GCP控制台创建服务账号，为其分配IAP-secured Web App User角色（权限范围选择受IAP保护的Black Duck所在的项目/资源）
2. 下载该服务账号的密钥JSON文件，上传到Jenkins凭证管理中（选择「Secret file」类型）
3. 在Jenkins任务中配置前置步骤：

   # 激活服务账号
   gcloud auth activate-service-account --key-file=${PATH_TO_YOUR_SECRET_FILE}
   # 生成IAP认证令牌
   IAP_TOKEN=$(gcloud auth print-identity-token --audiences="YOUR_IAP_CLIENT_ID")
   

4. 配置Synopsys Detect插件时，将blackduck.api.token参数设置为${IAP_TOKEN}，或通过环境变量BLACKDUCK_API_TOKEN传递该值

方案2：使用Synopsys Detect命令行手动注入认证头 #

如果Black Duck插件兼容性有问题，直接用命令行模式更灵活：

1. 按方案1的步骤生成IAP令牌
2. 在Jenkins中执行Detect命令：

   synopsys-detect \
     --blackduck.url=https://YOUR_IAP_PROTECTED_BLACKDUCK_URL \
     --blackduck.api.token=${IAP_TOKEN} \
     --blackduck.trust.cert=true  # 若Black Duck使用自签名证书需添加此参数
   

   该命令会自动将令牌以Bearer {token}的格式放入请求头，符合IAP的认证要求

方案3：利用GCP VM默认服务账号（仅适用于Jenkins部署在GCP VM上的场景） #

如果Jenkins运行在GCP虚拟机中，可直接使用VM的默认服务账号：

1. 为VM的默认服务账号分配IAP-secured Web App User角色
2. 在Jenkins任务中直接执行：

   IAP_TOKEN=$(gcloud auth print-identity-token --audiences="YOUR_IAP_CLIENT_ID")
   

3. 后续步骤同方案1或2

关键注意事项 #

• --audiences参数必须填写IAP保护的Black Duck资源对应的OAuth客户端ID（可在GCP控制台的IAP设置页面找到）
• Jenkins节点需预先安装Google Cloud SDK（gcloud），或使用包含gcloud的Docker镜像作为构建代理
• 若遇到证书信任问题，添加--blackduck.trust.cert=true参数或在Jenkins节点导入Black Duck的CA证书

内容的提问来源于stack exchange，提问作者Abhishek Jain