Jenkins 限制用户操作范围主要依赖 Role-based Authorization Strategy 插件，通过全局角色赋予基础访问权，项目角色控制具体任务权限。配置不当会导致用户登录后页面空白或权限溢出，必须同时配置全局 Overall/Read 权限和项目正则匹配规则。
先说结论：Jenkins 原生权限较弱，需安装 Role-based Authorization Strategy 插件实现 RBAC，且必须同时配置全局角色和项目角色才能生效。
- 适合：多团队隔离、不同环境权限分离、最小权限原则落地场景。
- 先准备：管理员账号、插件安装权限、明确的项目命名规范。
- 验收：使用普通用户账号登录，确认可见任务列表与预期一致且无法访问未授权项目。
快速处理思路
Jenkins 权限配置主要通过界面操作，无需命令行，按以下顺序执行：
- 安装插件：在插件管理搜索并安装 Role-based Authorization Strategy。
- 启用策略：进入系统管理 -> 全局安全配置，选择 Role-Based Strategy 授权策略。
- 定义角色：在 Manage Roles 中分别配置 Global roles（全局）和 Item roles（项目）。
- 分配用户：在 Assign Roles 中将用户绑定到已创建的角色。
为什么会这样
Jenkins 的 RBAC 权限体系分为三层，项目权限生效依赖于全局权限的基础支持。很多配置失败是因为只配了项目权限而忽略了全局权限。
权限层级结构为：全局权限 (Global Roles) -> 项目权限 (Item Roles) -> 节点权限 (Node Roles)。Overall/Read 权限是 Jenkins 的“入场券”，如果没有这个权限，用户连基本界面都无法加载，更无法看到具体的项目任务。项目角色通过正则表达式匹配任务名称，决定用户能操作哪些具体 Job。
分步处理
以下步骤基于 Role-based Authorization Strategy 插件的标准配置流程：
1. 安装与启用
进入系统管理 -> 插件管理，搜索 Role-based Authorization Strategy 并安装。重启后进入系统管理 -> 全局安全配置，在授权策略中选择 Role-Based Strategy，保存后界面会出现角色管理入口。
2. 配置全局角色 (Global Roles)
进入 Manage and Assign Roles -> Manage Roles。添加全局角色（如 developer-base），必须勾选 Overall 下的 Read 权限，建议勾选 View/Read。这是用户登录后的基础可见权限，缺少此项会导致用户登录后页面空白。
3. 配置项目角色 (Item Roles)
在 Item Roles 中添加角色（如 developer-projects）。在 Pattern 栏输入正则表达式匹配项目名，例如project-dev-.*表示匹配以 project-dev- 开头的所有任务。权限勾选 Job/Read, Job/Build 等具体操作权。注意正则表达式区分大小写，如需不区分大小写可使用(?i)开头。
4. 分配角色给用户
进入 Assign Roles 标签页。在 Global roles 区域将用户加入基础角色（如 developer-base）。在 Item roles 区域将用户加入项目角色（如 developer-projects）。保存配置。
怎么验证是否生效
配置完成后，必须使用非管理员账号进行验证：
- 可见性检查：使用普通用户登录，确认只能看到 Pattern 匹配到的任务列表，未匹配任务不可见。
- 操作性检查：尝试构建授权任务，确认成功；尝试构建未授权任务或访问系统管理页面，确认被拒绝。
- 错误日志：如果用户登录报错 missing Overall/Read permission，检查全局角色是否已绑定该用户。
常见坑
- 忽略全局权限：只配置项目角色而不配置全局 Overall/Read 权限，导致用户登录后界面空白。
- 正则匹配错误：Pattern 未加
.*后缀导致匹配不全，或未注意大小写敏感导致匹配失败。 - 管理员锁死：修改 admin 角色权限时误删 Overall/Administer 权限，导致无法再次管理权限系统。
- 匿名用户权限：部分版本需将 read 角色绑定到 Anonymous 用户，否则项目角色配置无法生效。
- 新建任务报错：如果项目角色限制了命名 Pattern，新建 Job 时名称不符合正则会导致创建失败。
常见问题
用户登录后页面一片空白怎么办？
原因是该用户缺少全局角色的 Overall/Read 权限。请在 Manage Roles 的全局角色中，确保该用户所属角色勾选了 Overall/Read，并在 Assign Roles 中完成绑定。
正则表达式 Pattern 怎么写才能匹配文件夹？
可以使用斜杠分隔符，例如^foo/bar.*匹配文件夹 foo 下的 bar 开头任务。控制子文件夹可用lind($|/svt.*)这类表达式。
配置后新建 Job 报错是怎么回事？
因为项目角色限制了任务名称的 Pattern。新建 Job 时标题必须符合正则规则，例如 Pattern 是.*测试环境，任务名必须以测试环境结尾。
参考来源
- 避开这 5 个坑!Jenkins 角色权限配置保姆级避坑指南 (附 Pattern 写法)
- Jenkins 权限控制 - 腾讯云开发者社区
- jenkins~权限控制
- 12.jenkins RBAC 权限管理 - 老夫聊发少年狂 88 - 博客园
- jenkins 用户权限管理
- 如果你还不理解 RBAC,看看 Jenkins 如何做到的
- Jenkins 基于角色的权限管理 RBAC
- Jenkins 安全配置与权限管理详解
- Jenkins Pipeline 用户权限管理新技巧：打造安全高效的流水线!
- 3`--Jenkins` 详解、用户权限、构建 maven、参数化构建 - 小绵 - 博客园