Jenkins流水线权限控制需启用Role-based Authorization Strategy插件，创建匹配流水线名称的项目角色（Pattern用正则），分配用户至对应角色，并结合文件夹分组与Pipeline参数强化安全管控。
Jenkins 设置流水线的访问控制权限，核心在于启用精细化授权策略，并将权限精确绑定到具体流水线（Pipeline Job）或其所属文件夹。默认的“安全矩阵”策略粒度太粗，推荐使用 Role-based Authorization Strategy 插件实现按项目、按角色、按正则匹配的灵活管控。
安装并启用 Role-Based 授权插件
这是实现流水线级权限控制的前提：
- 进入 系统管理 → 插件管理 → 可选插件，搜索 Role-based Authorization Strategy，勾选安装（无需重启）
- 安装完成后，回到 系统管理 → 全局安全配置
- 在 Authorization 区域，下拉选择 Role-Based Strategy，点击 保存
- 此时 Jenkins 左侧菜单会出现 Manage and Assign Roles 新入口
创建匹配流水线名称的项目角色
项目角色（Project roles）决定用户对哪些流水线能做什么。关键在 Pattern 字段——它用正则表达式匹配 Job 名称或文件夹路径：
- 例如你的流水线名为
prod-api-deploy、staging-frontend-build，可建一个角色叫prod-deployer，Pattern 填^prod-.*$ - 若所有流水线都在
production/文件夹下，Pattern 可填^production/.*$（注意开头的^和结尾的$提高匹配准确性） - 为该角色勾选必要权限：如
Job/Build、Job/Cancel、Job/Configure、Run/Update；如只需查看日志和状态，只勾Job/Read和Run/Read
将用户分配到对应项目角色
全局角色（Global roles）解决“能不能登录”，项目角色解决“能操作哪几个流水线”：
- 先确保每个用户至少被分配一个全局角色（如
reader），且必须含Overall/Read，否则登录后空白页或 403 错误 - 进入 Manage and Assign Roles → Assign Roles
- 在 Item roles 区域，找到你刚创建的项目角色（如
prod-deployer） - 在右侧输入用户名（支持自动补全），点击添加 —— 该用户即获得对所有匹配
^prod-.*$的流水线的指定操作权限
补充建议：结合文件夹与 Pipeline 参数强化控制
单纯靠 Job 名称匹配有时不够直观，建议配合以下实践提升可维护性：
- 用 Folders Plugin 将流水线按环境（
dev、staging、prod）或团队分组，再对整个文件夹设 Pattern（如^prod/.*$） - 在 Pipeline 脚本中使用
parameters+input步骤，要求人工确认高危操作（如生产部署），配合权限控制形成双重保障 - 避免给普通用户
Job/Configure权限；敏感配置（如凭证 ID、服务器地址）应通过 Jenkins 凭证系统管理，并用withCredentials安全注入
