如何自动将Jenkins当前登录用户凭据传递至PowerShell脚本用于TFS签入？

完全可以实现！结合你已经安装的插件和现有的AD集成环境，我们可以通过Jenkins的内置功能自动获取触发任务的AD用户凭据，不用每次手动输入参数，也能让TFS签入记录准确关联到实际触发任务的人。下面是具体的实现步骤：

1. 先确认Jenkins的AD认证基础配置 #

首先要确保Jenkins能正确识别触发任务的AD用户：

• 检查Jenkins全局安全配置，确认已经启用了Active Directory认证（这一步你应该已经完成，毕竟团队都用AD凭据登录）。
• 确保任务的触发权限是基于AD用户/组设置的，这样Jenkins在任务触发时能准确捕获到当前用户的AD身份。

2. 推荐方案：使用用户模拟功能（最省心） #

这是最直接的方式，让Jenkins任务以触发用户的身份运行整个构建流程，这样PowerShell脚本会自动使用该用户的AD上下文访问TFS，无需手动传递凭据。

步骤2.1 启用Jenkins的用户模拟权限 #

• 进入Jenkins全局安全配置，找到Impersonation（模拟）选项，勾选“Allow Jenkins to impersonate users”。
• 如果是Windows节点，需要给Jenkins服务账户配置本地安全权限：在本地安全策略中，添加“Act as part of the operating system”和“Replace a process level token”权限给Jenkins运行账户。

步骤2.2 配置任务启用模拟 #

• 打开你的Jenkins任务配置，找到Build Environment（构建环境）区域，勾选“Impersonate the build user”（模拟构建用户）。
• 这样整个构建过程（包括PowerShell脚本）都会以触发任务的AD用户身份执行。

步骤2.3 修改PowerShell脚本适配模拟身份 #

脚本不需要再硬编码ServiceAccount，直接使用当前运行用户的上下文连接TFS即可：

# 加载TFS PowerShell模块（如果你的环境需要）
Import-Module Microsoft.TeamFoundation.PowerShell

# 确认当前执行用户（就是触发任务的AD用户）
$currentUser = [System.Security.Principal.WindowsIdentity]::GetCurrent().Name
Write-Host "当前签入用户: $currentUser"

# 自动使用当前用户凭据连接TFS
$tfsCollection = New-TfsTeamProjectCollection -Uri "http://你的TFS服务器地址:8080/tfs/DefaultCollection"

# 执行你的合并逻辑...
# 示例合并操作（根据你的实际需求调整）
$sourceBranch = "$/Project/Dev"
$targetBranch = "$/Project/Main"
Invoke-TfsMerge -Source $sourceBranch -Target $targetBranch -Recursive

# 签入操作，TFS会自动记录当前用户为执行者
$checkinParams = New-TfsCheckinParameters -Comment "自动合并签入（由$currentUser触发）"
Invoke-TfsCheckin -Parameters $checkinParams

3. 备选方案：使用凭据绑定自动获取用户凭据 #

如果因为权限限制无法启用模拟功能，可以用这个方案：

步骤3.1 统一用户凭据命名规则 #

• 要求团队成员在Jenkins的个人凭据中添加自己的AD凭据（用户名+密码），并统一将凭据ID设置为ad-credentials-${BUILD_USER}（比如JohnSmith的凭据ID就是ad-credentials-Company\JohnSmith，注意如果用户名包含特殊字符可以调整规则）。

步骤3.2 任务中配置凭据绑定 #

• 在任务的Build Environment区域，勾选“Use secret text(s) or file(s)”。
• 添加一个“Username with password”类型的绑定，设置凭据ID为ad-credentials-${BUILD_USER}，并指定环境变量名（比如TFS_USER和TFS_PWD）。

步骤3.3 修改脚本使用环境变量 #

# 从环境变量获取当前触发用户的凭据
$username = $env:TFS_USER
$securePwd = ConvertTo-SecureString $env:TFS_PWD -AsPlainText -Force
$credential = New-Object System.Management.Automation.PSCredential ($username, $securePwd)

# 使用凭据连接TFS
$tfsCollection = New-TfsTeamProjectCollection -Uri "http://你的TFS服务器地址:8080/tfs/DefaultCollection" -Credential $credential

# 后续合并、签入逻辑和上面一致...

关键注意事项 #

• 权限检查：如果用模拟方案，确保Jenkins服务账户有足够的AD模拟权限；如果用凭据绑定方案，确保用户的个人凭据能被任务访问到。
• TFS权限：要保证每个触发任务的AD用户都有TFS对应的合并、签入权限，否则操作会失败。
• AD格式验证：确认Jenkins的BUILD_USER变量返回的是正确的AD格式（比如Company\JohnSmith），如果格式不对，可以调整AD插件的配置或者用${BUILD_USER_ID}变量。

内容的提问来源于stack exchange，提问作者Naomi Owens