jenkins需通过saml或oidc插件集成企业idp实现零信任准入：saml适用于传统ad环境，oidc面向云原生场景；关键在于严格校验断言/令牌、精准映射组权限、关闭本地认证入口、强制https、设置会话超时，并推荐nginx+njs前置认证以收窄攻击面。
Jenkins 本身不原生支持 SAML 或 OIDC 认证，需通过插件扩展实现企业级联合身份接入。要将其纳入零信任统一安全准入网络，关键不是“开启一个开关”，而是构建可信的身份验证链路：由企业 IdP（如 Azure AD、Okta、Keycloak）签发断言，Jenkins 作为 SP（服务提供者）严格校验并映射用户权限，同时配合 Jenkins 的 ACL 机制完成最小权限落地。
SAML 集成：适用于传统 AD 环境的稳定方案
推荐使用 SAML Plugin（官方维护，支持 SAML 2.0），它将 Jenkins 变为标准 SP，与主流 IdP 兼容。
- 在 Jenkins 系统配置中启用插件后，填写 IdP 元数据 URL 或手动输入 IdP 的 SSO 地址、证书、实体 ID；Jenkins 自动生成自己的 SP 元数据（含 ACS URL 和证书），需上传至 IdP 配置端
- 务必启用 签名验证 和 断言加密（可选但推荐），禁用未签名响应；时间戳偏差容忍建议设为 ≤300 秒，防止重放攻击
- 属性映射是权限打通核心：将 IdP 断言中的
groups、email、displayName等声明，映射到 Jenkins 用户名和授权组。例如，把urn:oid:1.3.6.1.4.1.5923.1.5.1.1（eduPersonAffiliation）值为staff的用户自动加入admin组 - 启用 Group-based Authorization Strategy 插件，用 IdP 返回的组名直接控制 Job、View、Credentials 等资源的读写权限，避免本地用户数据库维护
OIDC 集成：面向云原生与多租户场景的轻量选择
若企业已部署 OIDC 认证体系（如 Auth0、GitLab CI OIDC Provider、Azure AD v2.0），可用 OpenID Connect Authentication Plugin。
- 配置 Client ID / Client Secret 时，Client ID 必须与 IdP 中注册的 Jenkins 应用一致；Redirect URI 必须精确匹配 Jenkins 根路径 +
/securityRealm/finishLogin - 启用 ID Token 签名验证 和 Nonce 校验，确保 token 来源可信且一次性；建议要求 IdP 提供
groups或rolesscope，用于后续权限映射 - 支持 JWT 声明提取：可从 ID Token 的
preferred_username或email字段生成 Jenkins 用户名，并用groups数组自动同步 Jenkins 全局角色 - 结合 Role-based Authorization Strategy 插件，按 JWT 中的 role 声明动态分配权限，适合多业务线共用 Jenkins 实例的零信任分权场景
零信任落地的关键加固项
仅完成登录跳转不等于零信任就绪。以下配置缺一不可：
- 关闭 Jenkins 内置用户数据库登录入口：在 “Configure Global Security” 中取消勾选 Allow users to sign up 和 Enable security realm 下除 SAML/OIDC 外的所有选项
- 强制 HTTPS：所有通信必须经 TLS 加密，禁用 HTTP 端口；若前端有反向代理（如 NGINX），需正确透传
X-Forwarded-Proto和X-Forwarded-For，并在 Jenkins 配置中启用 “Use the reverse proxy settings” - 会话超时与令牌刷新：设置 Jenkins 全局会话超时（如 30 分钟无操作登出），并要求 IdP 发放短时效 ID Token（≤1 小时），避免长期凭证泄露风险
- 审计日志闭环：启用 Audit Trail Plugin，记录每次 SAML/OIDC 登录的 IdP 实体 ID、用户主体、IP、时间戳；日志需对接 SIEM（如 Splunk、ELK），触发异常登录告警
与 NJS/NGINX 协同增强边界防护（进阶）
对于高安全要求环境，可在 Jenkins 前置 NGINX 层用 NJS 做前置 SAML 校验，实现“认证下沉”：
- NGINX 接收原始 SAMLResponse，用 NJS 调用
verifySAMLSignature函数验证签名与摘要，失败则直接返回 401，不将请求转发至 Jenkins - 验证成功后，NJS 提取
nameID和groups，以X-Auth-User、X-Auth-Groups头透传给 Jenkins，Jenkins 后端可切换为“Trust Proxy Authentication”模式，跳过重复校验，提升性能 - 该模式下，Jenkins 不再处理 SAML 解析逻辑，只做权限映射与 ACL 控制，攻击面大幅收窄，更符合零信任“永不信任、持续验证”原则
