Jenkins动态加载GitHub共享库遇Permission denied (publickey)错误求助

你遇到的这个问题很典型——全局配置能正常加载共享库，但流水线动态加载时触发SSH权限拒绝错误，核心原因通常和凭据的访问范围、代理节点的环境或者动态加载的语法细节有关，下面逐一拆解：

1. 凭据的作用域限制 #

Jenkins的凭据有不同的作用域（全局、系统、项目文件夹等）。如果你的git凭据是配置在全局作用域，但运行流水线的项目被限制了访问全局凭据的权限，就会出现动态加载时无法读取凭据的情况。

解决方法：

• 检查凭据作用域：进入Jenkins的「凭据管理」，找到git凭据，确认它的作用域是「全局（Jenkins范围）」，或者确保你的流水线项目所在的文件夹/项目有权限使用该凭据。
• 验证凭据ID准确性：仔细核对credentialsId: 'git'中的ID是否和凭据管理中显示的完全一致（注意大小写、特殊字符）。

2. 代理节点（Slave）的SSH环境问题 #

全局配置的共享库通常是由Jenkins Master拉取并缓存的，而流水线动态加载时，如果你的流水线是在**代理节点（Slave）**上执行，那么代理节点需要具备访问GitHub的SSH权限：

解决方法：

• 确认流水线代理绑定：检查你的流水线是否有agent指令指定了特定的Slave，如果是，需要确保该Slave节点能访问到git凭据对应的私钥。
  • 如果使用「凭据绑定」插件，需要在流水线中显式将凭据挂载到代理节点；
  • 如果使用Jenkins的「节点凭据」配置，需要把git凭据同步到对应的代理节点上。
• 手动测试代理节点SSH连接：登录到代理节点，用Jenkins运行的用户执行ssh -T git@github.com，确认能成功建立连接（出现Hi username! You've successfully authenticated...的提示）。

3. modernSCM的语法细节问题 #

虽然你的代码看起来大致正确，但modernSCM的参数结构可能有细微偏差。尝试调整为更清晰的格式，确保credentialsId被正确关联：

library(
  identifier: 'custom-lib@master',
  retriever: modernSCM(
    [$class: 'GitSCMSource',
     remote: 'ssh://git@github.com:papanito/jenkins-pipeline-helper.git',
     credentialsId: 'git']
  )
)

另外，如果你使用的是较新版本的Jenkins，也可以尝试更简洁的语法：

library 'custom-lib@master', retriever: gitSCM('ssh://git@github.com:papanito/jenkins-pipeline-helper.git', credentialsId: 'git')

4. 全局共享库的加载机制差异 #

全局配置的共享库会在Jenkins启动或定期拉取时由Master处理，可能使用了不同的凭据（比如全局配置时用的是HTTPS而非SSH），而你动态加载时用了SSH地址，导致环境不一致。

解决方法：

• 检查全局共享库配置：进入「Manage Jenkins」→「Configure System」→「Global Pipeline Libraries」，查看该库的Git地址是HTTPS还是SSH。如果是HTTPS，说明全局加载时用的是用户名密码凭据，而动态加载用的是SSH私钥，两者环境不同，需要统一凭据类型。

内容的提问来源于stack exchange，提问作者papanito