CentOS GitLab權限設置方法

CentOS系統下GitLab權限設置方法

一、基礎環境權限配置

1. 文件系統權限

確保GitLab核心數據目錄（默認/var/opt/gitlab）的所有者和權限正確，避免未授權訪問：

sudo chown -R git:git /var/opt/gitlab  # 將目錄所有者設為git用戶及組
sudo chmod -R 755 /var/opt/gitlab     # 設置目錄權限為755（所有者可讀寫執行，其他用戶可讀執行）

2. GitLab服務用戶驗證

GitLab默認以git用戶運行，需確認服務配置中的用戶設置：
編輯/etc/gitlab/gitlab.rb，檢查以下參數是否為git：

gitlab_rails['git_user'] = 'git'      # Git操作對應的系統用戶
gitlab_rails['git_group'] = 'git'     # Git操作對應的系統組

修改后執行sudo gitlab-ctl reconfigure應用配置。

3. SELinux設置（若啟用）

若系統開啟SELinux，需調整策略以避免攔截GitLab操作：

sudo setenforce 0                     # 臨時關閉SELinux（測試用）
# 或通過semanage調整策略（永久生效，需安裝policycoreutils-python）
sudo semanage fcontext -a -t git_repo_t "/var/opt/gitlab(/.*)?"
sudo restorecon -Rv /var/opt/gitlab

二、GitLab權限類型與角色管理

GitLab采用RBAC（基于角色的訪問控制）模型，權限分為實例級（全局）和項目級（具體項目）兩類：

1. 角色類型與權限說明

GitLab預定義5種核心角色，覆蓋不同層級的操作權限：

2. 項目級權限分配（Web界面操作）

通過Web界面為具體項目分配用戶角色：

1. 登錄GitLab管理員賬戶，進入目標項目。
2. 點擊頂部導航欄Settings → Members。
3. 在“Members”頁面，輸入用戶郵箱或用戶名，選擇對應角色（如Developer），點擊Invite完成添加。

3. 實例級權限管理（全局設置）

• 創建用戶：通過Web界面Admin Area（管理員區域）→Users→New User，填寫用戶名、郵箱、密碼等信息，初始角色默認為Guest（可通過Settings→General→Sign-up restrictions修改默認角色）。
• 創建組：通過Groups→New Group創建組，添加用戶至組中，可為組分配項目權限（組內用戶自動繼承組權限）。
• 全局訪問控制：在Settings→General→Visibility and access controls中，設置實例默認項目可見性（如Private僅成員可見、Internal登錄用戶可見、Public所有人可見）。

三、項目級高級權限設置

1. 保護分支（Protected Branches）

限制特定用戶或角色對分支的推送/合并操作，防止誤操作或未授權修改：

1. 進入項目Settings→Repository→Protected Branches。
2. 選擇需要保護的分支（如main），設置：
   • Allowed to push：允許推送的用戶/角色（如Maintainer）。
   • Allowed to merge：允許合并的用戶/角色（如Maintainer）。
3. 點擊Protect啟用保護。

2. Merge Request（MR）權限控制

通過MR流程規范代碼合并，確保代碼質量：

• 在項目Settings→Merge Requests中，設置：
  • Require approval：需要指定數量的審批（如1個Maintainer批準）。
  • Allow merge when pipeline succeeds：CI/CD流水線通過后才允許合并。
  • Restrict who can push to matching branches：僅允許特定角色推送至關聯分支。

四、可選：LDAP集成權限管理（企業場景）

若企業使用LDAP（如Active Directory），可將GitLab與LDAP同步，通過LDAP組管理GitLab權限：

1. 編輯/etc/gitlab/gitlab.rb，啟用LDAP同步：

gitlab_rails['ldap_enabled'] = true
gitlab_rails['ldap_servers'] = {
  'main' => {
    'label' => 'LDAP',
    'host' => 'ldap.example.com',
    'port' => 389,
    'uid' => 'uid',                # LDAP用戶標識字段（如uid）
    'bind_dn' => 'cn=admin,dc=example,dc=com',  # LDAP管理員DN
    'password' => 'your_ldap_password',       # LDAP管理員密碼
    'user_search_base' => 'ou=users,dc=example,dc=com',  # 用戶搜索基礎DN
    'group_search_base' => 'ou=groups,dc=example,dc=com', # 組搜索基礎DN
    'ldap_group_sync_strategy' => 'group'     # 同步策略（group/attribute）
  }
}

2. 運行sudo gitlab-ctl reconfigure同步LDAP組。
3. 在GitLab中，將LDAP組映射至GitLab角色（如將LDAP組dev-team映射至Developer角色），實現統一權限管理。