こんにちは！日々のCI/CDパイプラインの運用、本当にお疲れ様です。
「よし、新しいパイプラインを書いたぞ！」と意気込んで実行ボタンを押した瞬間、画面に赤文字で現れるあの憎きエラー……そう、「Groovy Sandbox」の承認待ちブロックです。
「えっ、ただの文字列結合をしただけなのに、なんで管理者の承認が必要なの？」
「開発者は機能開発に集中したいのに、CIの権限まわりで毎回手が止まる……」
そんなストレスを抱えていませんか？
今回は、Jenkinsの強力な機能である「グローバル共有ライブラリ（Global Shared Libraries）」を正しく手なづけ、セキュリティを担保しながら「承認不要」で爆速に動作するパイプライン環境を構築する極意を伝授します。
これをマスターすれば、あなたもチームのメンバーも、無駄な待ち時間から解放されて開発だけに集中できるようになりますよ。さあ、一緒に扉を開けましょう！
—
そもそも「Groovy Sandbox」って何なの？
初心者の方がまずつまずくのが、Jenkins Pipelineの根底にある「Groovy」という言語とセキュリティ機構です。
Jenkinsのパイプラインは、Javaベースの動的言語である「Groovy」で記述されています。非常に柔軟で強力な反面、野放しにするとJenkinsサーバー上で任意のJavaコード（最悪の場合、OSを破壊するようなコマンド）が実行できてしまいます。
そこで登場するのが「Groovy Sandbox（サンドボックス）」です。
サンドボックスは、未承認のユーザーが書いたスクリプトが危険なメソッドやクラスにアクセスしないよう、安全な「お砂場」の中で実行させるための門番です。
なぜ、ここでビルドが止まるのか？
開発者が自由に書いたパイプライン（または共有ライブラリ）の中で、Jenkinsが「お、これ危険なメソッドかもしれないぞ」と判定した瞬間、スクリプトは一時停止し、Jenkins管理者の「承認（Approve）」を待つ状態になります。これが、CI/CDの速度を著しく落とす元凶です。
—
解決策：カスタム共有ライブラリで「全許可（ホワイトリスト）」を手に入れる
この問題を根本から解決するのが、「グローバル共有ライブラリ（Global Shared Libraries）」の適切な設計です。
開発者それぞれが自由奔放に書くパイプラインの中に危険なコードが混ざるからサンドボックスが発動するのであって、「信頼できる共通処理（ライブラリ）」としてあらかじめ切り出し、適切な権限を与えておけば、サンドボックスの制限をバイパス（あるいはホワイトリスト化）できるのです。
これから、その具体的なセットアップ手順を、基礎から丁寧にお見せします。
—
ステップ1：共有ライブラリの基本構造を理解する
まずは、ライブラリ用のGitリポジトリを一つ用意します（GitHubやGitLabなど）。
内部のディレクトリ構造は、Jenkinsの仕様で厳格に決められています。以下のように配置してください。
my-shared-library/
├── src/
│ └── com/
│ └── example/
│ └── PipelineUtils.groovy # Java風の高度なクラス定義用
└── vars/
└── secureBuild.groovy # パイプラインから直接呼び出せる便利関数
今回は、一番手軽かつ強力な `vars/` ディレクトリを使ったカスタム関数の作成にフォーカスします。
—
ステップ2：Jenkinsへの登録と「承認不要」の魔法
次に、Jenkinsの管理画面からこのリポジトリを登録します。ここが一番重要なポイントです。
1. Jenkinsのトップ画面から [Jenkinsの管理] ＞ [システム] を開く。
2. ページ下部にある [Global Shared Libraries] セクションを探す。
3. 以下のように設定します。
| 項目 | 設定値の例 |
| :— | :— |
| Name | `my-library` （パイプラインで呼び出す名前） |
| Default version | `main` （または `master`） |
| Load implicitly | チェックを外す（明示的に読み込む方がクリーンです） |
| Allow default version to be overridden | チェックを入れる |
| Retrieval method | Modern SCM (Git) を選択し、リポジトリURLと認証情報を設定 |
> 💡 先輩からのワンポイントアドバイス
> ここで登録したライブラリは、後述する「スクリプトセキュリティのホワイトリスト」と組み合わせることで、サンドボックスの呪縛から完全に解放されます。
—
ステップ3：精度高い「HelloWorld」で動作確認
それでは、実際にカスタムライブラリを作成して、承認待ちが発生しないスムーズな動作確認を行いましょう。
1. ライブラリ側のコードを書く
リポジトリの `vars/secureBuild.groovy` に、以下のコードを記述してプッシュします。
// vars/secureBuild.groovy
// 開発者が毎回書くお決まりのビルド処理をカプセル化します
def call(Map config = [:]) {
// デフォルト値の設定
String projectName = config.projectName ?: “Default Project”
String targetEnv = config.env ?: “staging”
// ログ出力（ここでの文字列結合などはサンドボックスに引っかかりやすいポイント）
echo “==========================================”
echo ” [INFO] 🚀 高速ビルドパイプラインを開始します”
echo ” プロジェクト名: ${projectName}”
echo ” デプロイ環境 : ${targetEnv}”
echo “==========================================”
node {
// チェックアウトからビルド・テストの定型文
stage(‘Checkout’) {
checkout scm
}
stage(‘Build & Test’) {
// 例として簡単なシェルを実行
sh “echo ‘Building ${projectName} for ${targetEnv}…'”
sh “echo ‘Tests passed successfully!'”
}
}
}
2. パイプライン側から呼び出す
実際のアプリケーション側の `Jenkinsfile` は、これだけです。驚くほどシンプルになりますよね。
// アプリケーション側の Jenkinsfile
@Library(‘my-library@main’) _
// 共有ライブラリの関数を呼び出す（サンドボックスを気にせず実行！）
secureBuild(
projectName: ‘Awesome-SaaS’,
env: ‘production’
)
この `Jenkinsfile` を実行してみてください。
かつてあなたを悩ませた「Groovy Sandboxの承認画面」はもう現れません。ライブラリ側で安全性が担保されている（あるいは後述のホワイトリストに登録されている）ため、承認不要で一気に駆け抜けるようにパイプラインが完了します。
—
さらに極める：どうしてもサンドボックスで弾かれる場合の「ホワイトリスト」ハック
もし、共有ライブラリの高度なJavaメソッド（JSONパースや高度な文字列操作など）でどうしてもサンドボックスに引っかかる場合は、管理者が明示的にメソッドをホワイトリストに登録することで解決できます。
1. [Jenkinsの管理] ＞ [In-process Script Approval（スクリプトセキュリティの承認）] を開く。
2. 過去にブロックされたシグネチャ（メソッドやクラスの呼び出し履歴）が一覧表示されています。
3. 信頼できるものであれば [Approve] ボタンをポチッと押すだけ。
これで、次回以降はそのメソッドの呼び出しが完全に許可され、二度とビルドが止まることはなくなります。
—
まとめ：ストレスフリーなCI/CD環境を手に入れよう
今回は、JenkinsのGroovy Sandboxの仕組みを紐解き、カスタム共有ライブラリを使って「承認不要」な高速パイプラインを構築する方法を解説しました。
- 野良スクリプトはサンドボックスで守り、信頼できる処理は「共有ライブラリ」として安全な場所に隔離する。
- 定型的な処理をライブラリ化することで、開発者が書く `Jenkinsfile` が極限までシンプルになる。
これを導入するだけで、チーム全体の開発スピードとモチベーションが劇的に向上します。「あぁ、今日もCIが止まってないか確認しなきゃ…」という不安から解放された、快適なJenkinsライフをぜひ今日から手に入れてください！