Jenkins对接Okta OIDC如何实现外部托管RBAC角色授权？

需要在Jenkins中复用Okta侧统一管理的角色权限体系，已部署oic-auth插件实现Okta OIDC认证登录，尝试通过JCasC配置role-strategy插件（基于角色的授权策略RoleBasedAuthorizationStrategy）时，使用如下配置：

authorizationStrategy:
  roleBased:
    roles:
      global:
        - name: "my_okta_group"
          permissions:
            - "Overall/Administer"

配置可正常同步写入$JENKINS_HOME/config.xml，但用户登录时报错<user> is missing the Overall/Read permission。
排查确认该插件强制要求配置assignments:字段，显式指定角色对应的用户SID列表，但需求是将RBAC的用户-角色映射完全托管在Okta侧维护，不在Jenkins中重复配置，该逻辑为插件硬编码实现，默认配置无法满足需求。
待解答问题：

1. 是否存在其他配置方式，可让role-strategy插件支持外部托管的角色分配？
2. 是否有其他更适配该场景的Jenkins RBAC授权插件？

role-strategy插件适配方案 #

role-strategy插件没有提供关闭assignments字段校验的官方开关，无法做到完全不在Jenkins侧维护任何映射配置，但可以通过组同步的方式最小化Jenkins侧维护成本，实现用户-角色关系完全由Okta托管：

• 先在oic-auth插件配置中开启Okta组同步，将Okta返回的groups声明映射为Jenkins内置用户组属性，用户登录时会自动把Okta所属组同步到Jenkins用户信息中
• 在role-strategy的JCasC配置中，assignments字段不需要填写具体用户SID，只需要填写从Okta同步过来的组名即可，配置示例如下：

authorizationStrategy:
  roleBased:
    roles:
      global:
        - name: "admin_role"
          permissions:
            - "Overall/Administer"
          assignments:
            - "my_okta_admin_group"

这种配置方式下，Jenkins侧只需要维护「Okta组->Jenkins角色」的对应关系，用户属于哪个组完全由Okta侧控制，后续Okta侧调整用户所属组不需要改动Jenkins任何配置，权限会在用户下次登录时自动生效。

适配场景的替代授权插件 #

如果不想保留assignments相关配置，更推荐使用以下两款插件，原生支持直接消费OIDC认证返回的组声明，无强制本地角色分配要求：

• matrix-auth（矩阵授权策略插件）：支持全局、项目级、节点级细粒度权限配置，可以直接给OIDC透传的Okta组分配对应权限，不需要提前在Jenkins侧创建对应组，也不需要维护任何用户SID列表，用户登录时自动根据携带的Okta组匹配权限，完全不需要在Jenkins侧维护用户-组、用户-角色的归属关系，是该场景下的最优选。
• Folder Authorization插件：如果权限隔离主要以文件夹为维度，该插件逻辑更轻量，同样支持直接识别OIDC同步的外部组，无硬编码的本地分配校验逻辑，配置复杂度更低。

内容的提问来源于stack exchange，提问作者jws