Jenkins Authorization (Global)

작성일: 2026. 3. 30.

Global Authorization은 전체 Jenkins 인스턴스에 적용되는 기준 정책이며, 잘못 설정하면 전체 보안 수준이 즉시 낮아질 수 있습니다.

기본 원칙

• Anonymous에는 가능한 최소 권한만 허용합니다(대개 읽기도 끄는 경우가 많습니다).
• Authenticated Users에게 Overall/Administer 등 전역 관리 권한을 주지 않습니다.
• 관리자 권한은 소수 계정에만 부여하고, 공용 admin 계정 대신 개인 계정을 씁니다.

권한 설계 예시

• admins: Overall/Administer
• developers: Job/Read, Job/Build, View/Read
• viewers: Job/Read, View/Read

실수하기 쉬운 포인트

1. Job/Configure를 광범위하게 열어 파이프라인 변경 사고 발생
2. Credentials/View 권한 노출로 민감정보 유출 위험 증가
3. Role Strategy 없이 Matrix만으로 복잡한 조직 권한을 직접 운영

설정 위치

Jenkins 관리(Manage Jenkins) → 보안(Security) → 전역 보안 설정(Global Security)에서 인증(로그인 방식)과 인가(Authorization)를 함께 다룹니다. LDAP·SAML·OAuth 등 외부 IdP를 쓰면 그룹 정보가 Jenkins 역할과 매핑되도록 IdP 쪽 그룹 클레임을 맞추는 것이 중요합니다.

Matrix vs Role-based

Matrix Authorization Strategy는 사용자·그룹별로 체크박스를 직접 찍는 방식이라 소규모에 적합합니다. 인원과 잡이 늘면 Role-based Authorization Strategy로 롤(역할)을 정의하고 그룹에 롤을 붙이는 편이 유지보수에 유리합니다.

도입 후 점검

• 비로그인 상태에서 민감 URL 접근이 차단되는지
• 일반 개발자 계정으로 플러그인 설치·시스템 설정이 불가능한지
• API 토큰·CLI로 우회 시에도 동일 정책이 적용되는지

원문: Jenkins Authorization (Global)

목록으로