如何通过Ansible为Jenkins Job Builder配置私有GitHub Enterprise仓库克隆凭证？

我来给你梳理几个完全不需要手动在Jenkins里添加Git凭证的可行方案，全程通过Ansible和JJB就能搞定：

1. 在JJB Job配置中嵌入GitHub API令牌（推荐方案） #

GitHub的API令牌比明文密码更安全，还能精准控制权限（比如只授予仓库只读权限）。你可以把令牌直接整合到Git仓库URL里，让JJB生成的Job直接完成私有仓库克隆。

具体步骤： #

• 先在GitHub Enterprise上生成一个仅拥有仓库只读权限的API令牌（避免赋予过高权限）。
• 在你的JJB job配置模板（比如clone_repo_job.j2）里，这样配置SCM部分：

- job:
    name: clone-private-ghe-repo
    scm:
      - git:
          url: "https://{{ github_token }}@github.example.com/your-org/your-private-repo.git"
          branches:
            - main

• 然后在Ansible Playbook里，通过加密变量传递令牌（用Ansible Vault加密敏感内容，避免明文泄露）：

- name: 生成并部署Jenkins Job
  hosts: jenkins-server
  vars:
    github_token: "{{ vault_github_token }}"  # 已用Ansible Vault加密的变量
    jenkins_admin_user: "admin"
    jenkins_admin_pass: "{{ vault_jenkins_pass }}"
  tasks:
    - name: 渲染JJB Job模板
      template:
        src: clone_repo_job.j2
        dest: /tmp/clone_repo_job.yaml
    - name: 执行Jenkins Job Builder更新
      command: jenkins-jobs update /tmp/clone_repo_job.yaml --user {{ jenkins_admin_user }} --password {{ jenkins_admin_pass }}

注意：这种方式下凭证会存储在Jenkins的Job配置中，如果担心安全，可以结合下面的自动创建凭证方案。

2. 用Ansible自动创建Jenkins Git凭证（无需手动操作） #

虽然你说无法手动添加凭证，但可以用Ansible的模块自动创建Git凭证，然后在JJB的Job里引用凭证ID，这样凭证会存在Jenkins的安全存储中，而非明文写在Job配置里。

具体步骤： #

• 先在Ansible Playbook里创建Git凭证：

- name: 自动创建Jenkins Git凭证
  hosts: jenkins-server
  vars:
    github_cred_id: "ghe-private-repo-cred"
    github_user: "your-ghe-username"
    github_token: "{{ vault_github_token }}"
    jenkins_admin_user: "admin"
    jenkins_admin_pass: "{{ vault_jenkins_pass }}"
  tasks:
    - name: 添加GitHub凭证到Jenkins
      community.general.jenkins_credential:
        name: "{{ github_cred_id }}"
        type: usernamePassword
        username: "{{ github_user }}"
        password: "{{ github_token }}"
        description: "用于克隆私有GitHub Enterprise仓库的凭证"
        state: present
        jenkins_url: "http://localhost:8080"
        jenkins_user: "{{ jenkins_admin_user }}"
        jenkins_password: "{{ jenkins_admin_pass }}"

• 然后在JJB的Job配置里引用这个凭证ID：

- job:
    name: clone-private-ghe-repo
    scm:
      - git:
          url: "https://github.example.com/your-org/your-private-repo.git"
          branches:
            - main
          credentials-id: "{{ github_cred_id }}"

• 最后用Ansible渲染JJB模板并执行更新命令即可。

3. 通过环境变量临时传递凭证（轻量方案） #

如果你不想让凭证长期存储在Jenkins里，可以在Ansible执行JJB命令时，通过环境变量临时传递凭证，JJB配置里直接读取环境变量即可。

具体步骤： #

• JJB配置文件中用环境变量占位：

- job:
    name: clone-private-ghe-repo
    scm:
      - git:
          url: "https://${GITHUB_TOKEN}@github.example.com/your-org/your-private-repo.git"
          branches:
            - main

• 在Ansible Playbook里设置环境变量后执行JJB：

- name: 临时传递凭证并更新Job
  hosts: jenkins-server
  vars:
    github_token: "{{ vault_github_token }}"
    jenkins_admin_user: "admin"
    jenkins_admin_pass: "{{ vault_jenkins_pass }}"
  tasks:
    - name: 执行JJB更新命令
      command: jenkins-jobs update /path/to/your/job.yaml --user {{ jenkins_admin_user }} --password {{ jenkins_admin_pass }}
      environment:
        GITHUB_TOKEN: "{{ github_token }}"

安全提醒： #

• 无论用哪种方案，绝对不要把明文凭证提交到代码仓库，一定要用Ansible Vault加密敏感变量，或者从HashiCorp Vault这类专业秘钥管理系统读取。
• 优先使用GitHub API令牌而非账号密码，令牌可以随时撤销，权限也能精准控制，安全性更高。

内容的提问来源于stack exchange，提问作者Rohil