Jenkins恢复至新EC2服务器后AD账号无法登录问题咨询

高频根因（绝大多数同类问题出自以下场景） #

• 文件属主/权限配置错误
  复制JENKINS_HOME时如果用root用户执行拷贝操作，会导致所有文件属主变为root，而Jenkins服务默认以jenkins用户运行，无权限读取用户凭证、认证配置、密钥文件时就会直接返回凭证无效的报错。
  修复命令：

  # 递归修正JENKINS_HOME目录属主，路径替换为你实际的JENKINS_HOME存放位置
  chown -R jenkins:jenkins /var/lib/jenkins
  # 修正密钥目录权限，权限设置过宽时Jenkins会出于安全机制主动拒绝读取相关文件
  chmod 700 /var/lib/jenkins/secrets
  chmod 600 /var/lib/jenkins/secrets/*
  

• 核心非XML文件漏拷
  你提到复制时只同步了所有.xml配置文件和插件，但Jenkins的加密根密钥、AD认证信任证书、绑定凭证解密依赖的文件都存放在JENKINS_HOME/secrets/目录下，全部是非XML格式；另外如果拷贝时只扫描了JENKINS_HOME根目录的XML文件，还会漏掉JENKINS_HOME/users/目录下存储的用户配置。缺少secrets目录下的master.key等核心密钥文件时，所有存储的加密凭证（包括AD绑定账号密码、域信任证书）都无法正常解密，AD认证会直接失败。
• 网络连通性阻断
  新EC2实例的安全组出方向如果没有放通到AD域控的389（LDAP）、636（LDAPS）端口，Jenkins无法连接域控，自然无法完成账号密码校验，可以在EC2上执行nc -zv 域控IP 636命令直接测试端口连通性。
• 运行环境/插件版本不兼容
  如果新服务器安装的Java版本和旧环境不一致（比如旧环境用Java11、新环境装了Java17），或者active-directory、ldap、role-based-authorization这类安全相关插件和Jenkins核心版本不匹配，启动时插件加载失败会导致认证模块异常。直接查看JENKINS_HOME/logs/jenkins.log日志，搜索security、active-directory、ldap关键词对应的ERROR级日志即可定位具体问题。

不丢失角色授权规则的临时修复方案 #

不需要清空config.xml里的全部安全配置，单独替换认证域配置即可，授权规则部分全程不改动就不会丢失：

1. 停止Jenkins服务：systemctl stop jenkins
2. 备份现有配置文件：cp /var/lib/jenkins/config.xml /var/lib/jenkins/config.xml.ad.bak
3. 编辑config.xml，只替换开头到结尾的整块内容，存储角色授权规则的块完全不要修改，将securityRealm块替换为以下内容：

   <securityRealm class="hudson.security.HudsonPrivateSecurityRealm">
     <disableSignup>true</disableSignup>
     <enableCaptcha>false</enableCaptcha>
   </securityRealm>
   

4. 启动Jenkins服务，执行cat /var/lib/jenkins/secrets/initialAdminPassword获取初始管理员密码，登录后先确认所有角色授权配置正常留存，再排查修复AD认证问题，重新配置完成后切回AD认证即可，整个过程不会丢失原有授权规则。

内容的提问来源于stack exchange，提问作者forest0918