jenkins - 将 Jenkins 凭据锁定到共享库的任何策略？

Question

我喜欢使用Jenkinsfiles和共享库来获得它们声称的好处，但我对任意 Jenkinsfiles 的执行（以及可能使用广泛范围的凭据）有一些治理问题。

我认为锁定凭据以供特定共享库使用以强制执行使用模式会很方便（同时，我认为完全有可能有更好的方法来解决问题空间），所以我我只是在这个领域寻求任何想法/指导。

Answer 1

不确定我们的解决方案是否适合您。

我们有一个共享库；审查并锁定，以便不只是任何人都可以对其进行更改。我们将该库附加到 Jenkins 上的两个单独文件夹中。

在一个文件夹中，我们的用户拥有自己的个人或基于团队的文件夹，并且可以在该空间中创建工作和凭据。这个大文件夹上没有共享凭据，团队之间不会共享他们的凭据。

还有第二个文件夹，所有用户/团队都没有编辑权限，但可以执行现有作业。该文件夹中没有 Jenkinsfile、基于 SCM 的作业，他们可以在其中通过 SCM 修改作业。此文件夹上有“锁定”凭据，不打算共享或访问。用户/团队可以编辑他们的工作（在他们的文件夹中）以调用这些工作 - 但他们不能编辑这些受保护的工作来获得对凭据的访问权限。

这在某种程度上很尴尬。但它保留了用户和他们不应该访问的凭据之间的鸿沟。