如何为已启用LDAP认证的Jenkins配置LDAP与内置用户库双重认证？

嘿，这个场景我之前帮团队配置过，刚好能给你说清楚怎么操作～

一、LDAP + 内置用户库的具体配置步骤 #

1. 先登录你的Jenkins管理员账号，找到「Manage Jenkins」→「Configure Global Security」（全局安全配置）
2. 在「Security Realm」（安全域）这块，别再选单独的LDAP了，改成**「Multiple Security Realms」（多重安全域）**——这个是Jenkins默认自带的，不用额外装插件
3. 点击「Add Security Realm」，先加你已经配置好的「LDAP」：把之前的LDAP服务器地址、Base DN、绑定账号这些信息填好（你之前已经在用LDAP，这部分应该轻车熟路）
4. 再点一次「Add Security Realm」，添加「Jenkins’ own user database」（Jenkins内置用户数据库）
5. 调整两个安全域的顺序：建议把LDAP放在上面，这样Jenkins会先尝试用LDAP认证用户，要是认证失败（比如用户不在LDAP里），再自动去匹配内置用户库的账号；如果有特殊需求（比如优先用内置用户），也可以反过来调顺序
6. 往下拉到「Authorization」（授权）部分，得确保权限策略能覆盖两种用户：比如用「Matrix-based security」（矩阵权限）的话，给LDAP用户组和内置用户都分配对应的权限（比如你的内置管理员账号一定要保留最高权限，避免LDAP出问题时没法登录）
7. 最后点「Save」保存，然后赶紧测试：用LDAP账号登一次，再用内置用户账号登一次，确认都能正常访问Jenkins就行

二、Jenkins配置多种认证方式的通用方法 #

其实刚才的操作就是通用方法的一个实例，核心就是利用「多重安全域」来叠加不同的认证源，步骤通用：

• 进入「Manage Jenkins」→「Configure Global Security」→「Security Realm」，选择「Multiple Security Realms」
• 点击「Add Security Realm」，添加你需要的任意认证方式：比如GitHub OAuth、OpenID Connect、Active Directory这些，只要Jenkins有对应的插件支持，都可以加进来
• 调整认证顺序：Jenkins会按照从上到下的顺序依次尝试认证用户，只要其中一个认证通过，就允许登录
• 重点注意授权策略：不管哪种认证方式的用户，都要在授权设置里分配合适的权限，不然就算登录成功也可能看不到任何内容
• 一定要测试验证：每种认证方式的用户都要测一遍登录和权限，确保没毛病

额外提醒 #

• 切换认证方式之前，最好先备份Jenkins的配置文件（比如$JENKINS_HOME/config.xml），万一配置错了可以快速恢复
• 如果有用户同时存在于LDAP和内置用户库，Jenkins会优先用排在前面的安全域的用户信息，这点要注意
• 内置用户库的密码是存在Jenkins本地的，一定要管好管理员账号的密码，别泄露了

内容的提问来源于stack exchange，提问作者Youssouf Maiga