ubuntu gitlab权限管理实践

Ubuntu 上 GitLab 权限管理实践

一 角色与权限模型

• 项目级标准角色与能力如下（由低到高）：
  • Guest：可查看项目、创建Issue、发表评论，不能读写代码。
  • Reporter：在 Guest 基础上可克隆代码，不可提交。
  • Developer：可克隆、开发、推送、创建合并请求（Merge Request）。
  • Maintainer：可管理项目设置、对受保护分支进行推送、创建标签、删除项目等。
  • Owner：最高权限，可设置访问权限与可见性、删除/迁移项目、管理组成员等。
• 组与子组：支持按组/子组统一授予访问级别，成员自动继承，便于规模化授权与隔离。
• 可见性级别（Group/Project）：
  • Private：仅组成员可见。
  • Internal：登录用户可见。
  • Public：匿名可见。

二 推荐权限模型与分支策略

• 团队最小权限原则：日常开发授予Developer；需要管理设置/标签/受保护分支者授予Maintainer；仅查看与反馈授予Reporter/Guest。
• 保护主分支（如 main/develop）：
  • 将“Allowed to push/merge”设置为Maintainers（必要时可加少量资深 Developer）。
  • 开启“Require pull request reviews before merging”“Require status checks to pass before merging”等质量门禁。
  • 禁止直接向受保护分支直接 push，统一走 Merge Request + Code Review。
• 组级授权示例（便于复用与审计）：
  • 创建组：team-frontend、team-backend。
  • 组权限：为各团队授予其项目Developer或Maintainer；跨团队只读访问用Reporter。
  • 子组：如 team-backend/api、team-backend/service，分别授权，避免越权。
• 外部协作者：使用项目级邀请（非成员）授予Reporter/Developer，并设置过期时间，降低长期暴露面。

三 Ubuntu 系统层面的安全与权限要点

• 运行身份与目录权限：
  • 确保 GitLab 以专用系统用户运行（通常为git:git），数据目录（默认 /var/opt/gitlab）属主与权限正确：
    • sudo chown -R git:git /var/opt/gitlab
    • sudo chmod -R 755 /var/opt/gitlab
• SSH 与本地开发机：
  • 用户私钥权限应为600：chmod 600 ~/.ssh/id_rsa
• 防火墙放行：
  • 放行 80/443/22（HTTP/HTTPS/SSH）：sudo ufw allow 80,443,22
• 安全模块与合规：
  • 若启用 SELinux/AppArmor，需确保策略允许 GitLab 正常运行（如必要时将 AppArmor 设为投诉模式进行排障）。
• 外部数据库（如 PostgreSQL）权限最小化：
  • 仅授予应用所需权限，例如：GRANT ALL PRIVILEGES ON DATABASE gitlabhq_production TO ‘gitlab’@‘localhost’ IDENTIFIED BY ‘your_password’;
• 日志与审计：
  • 排查权限问题优先查看：/var/log/gitlab（可用 gitlab-ctl tail 系列命令）。

四 常用操作命令与审计

• 配置与运维（修改 /etc/gitlab/gitlab.rb 后需执行）：
  • 重新加载：sudo gitlab-ctl reconfigure
  • 状态/启停/重启：sudo gitlab-ctl status|start|stop|restart
  • 日志排查：sudo gitlab-ctl tail；sudo gitlab-ctl tail nginx/gitlab_access.log；sudo gitlab-ctl tail postgresql
• 备份与恢复（权限与合规的重要保障）：
  • 配置备份路径与保留期（/etc/gitlab/gitlab.rb）：
    • gitlab_rails[‘backup_path’] = “/var/opt/gitlab/backups”
    • gitlab_rails[‘backup_keep_time’] = 604800（保留 7 天）
  • 执行备份：sudo gitlab-rake gitlab:backup:create
• 命令行批量管理（便于自动化与审计，示例）：
  • 创建用户：sudo gitlab-rake gitlab:users:create[‘username’,‘email’,‘password’,‘admin’]
  • 删除用户：sudo gitlab-rake gitlab:users:delete[‘username’]
  • 修改密码：sudo gitlab-rake gitlab:users:modify[‘username’,‘new_password’]
  • 列出用户：sudo gitlab-rake gitlab:users:list
  • 添加成员到组：sudo gitlab-rake gitlab:members:add[‘group_name’,‘username’,‘access_level’]
• 审计建议：
  • 定期导出项目成员清单与组结构，对比变更；
  • 对关键操作（添加 Owner/变更保护分支规则）开启审批工作流或二次确认。