如何让Jenkins调用负载均衡后的端点时使用SSL客户端证书？

当然可以实现！Jenkins完全支持在调用外部服务时使用SSL客户端证书来通过负载均衡器的验证，下面我给你梳理几种常用的配置方式，适配不同的场景：

1. 全局级配置（所有任务通用） #

如果你的所有Jenkins任务都需要使用同一个客户端证书访问后端服务，可以通过修改Jenkins的JVM启动参数来全局配置：

• 先把你的客户端证书（一般是PKCS#12格式，后缀.p12或.pfx）放到Jenkins服务器的安全目录下，比如/var/lib/jenkins/certs/client-cert.p12
• 找到Jenkins的启动配置文件（不同系统路径不同，比如Debian/Ubuntu是/etc/default/jenkins，RHEL/CentOS是/etc/sysconfig/jenkins），添加以下JVM参数：

  -Djavax.net.ssl.keyStore=/var/lib/jenkins/certs/client-cert.p12
  -Djavax.net.ssl.keyStorePassword=你的证书密码
  -Djavax.net.ssl.keyStoreType=PKCS12
  

• 重启Jenkins服务，之后所有由Jenkins JVM发起的HTTPS请求都会自动带上这个客户端证书

2. 任务级配置（仅特定任务使用） #

如果只有部分任务需要使用客户端证书，可以针对单个任务单独配置：

方式一：Pipeline脚本手动配置SSL上下文 #

在Jenkins Pipeline中，你可以用Groovy脚本直接构建带客户端证书的请求：

pipeline {
    agent any
    stages {
        stage('调用安全端点') {
            steps {
                script {
                    def certPath = '/var/lib/jenkins/certs/client-cert.p12'
                    def certPass = credentials('jenkins-client-cert-password') // 建议用Jenkins凭据存储密码，避免硬编码
                    
                    // 加载客户端证书到密钥库
                    def keyStore = KeyStore.getInstance("PKCS12")
                    keyStore.load(new FileInputStream(certPath), certPass.toCharArray())
                    
                    // 初始化SSL上下文
                    def keyManagerFactory = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm())
                    keyManagerFactory.init(keyStore, certPass.toCharArray())
                    def sslContext = SSLContext.getInstance("TLS")
                    sslContext.init(keyManagerFactory.getKeyManagers(), null, new SecureRandom())
                    
                    // 发起HTTPS请求
                    def targetUrl = 'https://your-lb-domain.com/api/endpoint'
                    def conn = new URL(targetUrl).openConnection() as HttpsURLConnection
                    conn.setSSLSocketFactory(sslContext.getSocketFactory())
                    conn.setRequestMethod("GET")
                    
                    // 处理响应
                    def responseCode = conn.getResponseCode()
                    echo "请求响应码: ${responseCode}"
                    def responseBody = new BufferedReader(new InputStreamReader(conn.getInputStream())).text
                    echo "响应内容: ${responseBody}"
                }
            }
        }
    }
}

方式二：借助HTTP Request插件 #

如果你习惯用可视化配置，推荐安装HTTP Request Plugin，它内置了SSL客户端证书支持：

1. 在Jenkins插件市场安装HTTP Request插件
2. 在目标任务的构建步骤中添加「HTTP Request」
3. 展开「Advanced」选项，找到「SSL Client Certificate」区域：
   • 选择「PKCS#12 File」，上传你的证书文件
   • 输入证书密码（同样建议用Jenkins凭据引用）
4. 保存配置后，该任务发起的请求就会自动携带客户端证书

3. 关键注意事项 #

• 确保Jenkins进程对证书文件有读取权限，可以用chown jenkins:jenkins /path/to/cert.p12调整权限
• 如果负载均衡器使用的是自签名CA证书，还需要把CA证书导入Jenkins的信任库，否则会出现SSL握手失败。可以通过添加JVM参数-Djavax.net.ssl.trustStore=/path/to/truststore.jks和-Djavax.net.ssl.trustStorePassword=信任库密码来全局配置，或者在脚本中手动加载CA证书
• 绝对不要把证书密码硬编码在脚本或配置里，一定要用Jenkins的「Credentials」功能存储和引用

内容的提问来源于stack exchange，提问作者Pier