Jenkins Role Strategy插件如何限制非对应组用户构建指定环境

前置依赖配置 #

• 安装Build User Vars Plugin插件，用于在Pipeline中获取当前构建用户的所属用户组信息
• 确认Role-based Authorization Strategy插件中配置的用户组名称与环境名完全匹配，即dev、qa两个组名无拼写、大小写差异

完整可运行Pipeline代码 #

pipeline {
    agent any
    parameters {
        choice(name: 'environment', choices: ['dev', 'qa'], description: '选择要部署的环境')
    }
    stages {
        stage('权限校验') {
            steps {
                script {
                    // 加载当前构建用户的信息
                    wrap([$class: 'BuildUser']) {
                        // 将用户所属组的逗号分隔字符串转为列表，去除前后空格
                        def userGroups = env.BUILD_USER_GROUPS.split(',').collect { it.trim() }
                        def targetEnv = params.environment
                        // 权限校验逻辑
                        if (!userGroups.contains(targetEnv)) {
                            // 权限不匹配直接抛出异常终止构建
                            error "用户 ${env.BUILD_USER_ID} 不属于${targetEnv}用户组，无权启动${targetEnv}环境的构建任务"
                        }
                        echo "权限校验通过，用户${env.BUILD_USER_ID}属于${targetEnv}组，可继续执行构建"
                    }
                }
            }
        }
        // 后续的构建、部署等阶段放在权限校验阶段之后
        stage('业务构建') {
            steps {
                echo "开始执行${params.environment}环境的构建逻辑"
                // 此处添加你原有构建、部署的相关逻辑
            }
        }
    }
}

逻辑说明 #

• 把权限校验放在所有业务阶段之前，一旦权限不匹配直接终止流程，不会执行后续操作
• 校验逻辑直接复用RBAC插件中已配置的用户组关系，不需要在Pipeline中硬编码用户列表，后续用户组调整不需要修改Pipeline代码
• 如果需要支持更多环境，只需要在parameters的choice列表中添加对应环境名，同时在RBAC插件中创建同名用户组即可，无需修改校验逻辑

可选优化方案 #

如果想要进一步优化体验，避免用户看到不属于自己的环境选项，可以搭配Active Choices Plugin动态生成可选的环境列表，仅展示当前用户所属组对应的环境选项，从参数选择层面就避免跨环境选择的可能。

内容的提问来源于stack exchange，提问作者Savke