GitLab在CentOS上的权限设置如何操作

CentOS 上 GitLab 权限设置实操指南

一 系统层权限与目录所有权

• 使用专用的系统账号运行 GitLab，避免直接用 root：创建系统用户与组（可选，Omnibus 包通常已自带 git 用户）。
  • 创建组：sudo groupadd gitlab
  • 创建系统用户：sudo adduser --system --group --disabled-login --gecos 'GitLab' gitlab
• 调整 GitLab 安装目录的所有权（Omnibus 默认路径为 /opt/gitlab，如自定义请以实际路径为准）：
  • 设置所有者：sudo chown -R gitlab:gitlab /opt/gitlab
  • 设置目录权限：sudo chmod -R 755 /opt/gitlab
• 说明：以上确保 GitLab 进程对相关目录具备所需读写与执行权限，避免因权限不当导致服务异常。

二 防火墙与端口放行

• 放行 HTTP/HTTPS 与 SSH，保证 Web 访问与 Git over SSH 正常：
  • sudo firewall-cmd --permanent --zone=public --add-service=http
  • sudo firewall-cmd --permanent --zone=public --add-service=https
  • sudo firewall-cmd --permanent --zone=public --add-service=ssh
  • sudo firewall-cmd --reload
• 如使用非标准端口（例如将 Nginx 监听改为 82），需额外放行端口：
  • sudo firewall-cmd --zone=public --add-port=82/tcp --permanent
  • sudo firewall-cmd --reload
• 说明：端口与协议放行是外部访问 GitLab 的前置条件，未放行会导致访问或克隆失败。

三 GitLab 内角色与访问控制

• 项目/组成员角色与能力（由低到高）：
  • Guest：可创建 Issue、发表评论，不能读写仓库。
  • Reporter：可 克隆 代码，不能提交。
  • Developer：可克隆、开发、提交与 push。
  • Maintainer：可创建项目、打 Tag、配置保护分支、添加成员、编辑项目。
  • Owner：可设置项目可见性、删除/迁移项目、管理组成员。
• 可见性级别（项目与组均适用）：
  • Private：仅组成员可见。
  • Internal：所有已登录用户可见。
  • Public：无需登录即可见。
• 配置入口与建议：
  • 项目级：进入项目 → Settings → Members 添加成员并分配角色。
  • 组级：进入组 → Members 统一设置成员权限；组可见性在组设置中调整。
  • 平台级：管理员可在 Admin Area → Users 管理用户；谨慎使用全局权限配置。

四 分支保护与合规策略

• 启用分支保护以限制关键分支的变更权限：
  • 进入项目 → Settings → Repository → Protected Branches，选择分支并设置允许 Merge、Push 的角色（常见做法仅允许 Maintainer 或更高权限）。
• 实践建议：
  • 对 main/master、release/ 等分支启用保护，要求 Code Review、禁止强制推送。
  • 结合 CI/CD 流水线，在合并前执行构建与测试，确保合入质量。

五 变更生效与验证

• 修改 GitLab 配置后需重新加载并重启服务（Omnibus）：
  • sudo gitlab-ctl reconfigure
  • sudo gitlab-ctl restart
• 验证要点：
  • 访问 Web 界面与 SSH 克隆是否正常（例如：git clone git@<host>:group/project.git）。
  • 检查项目/组的可见性与成员角色是否按预期生效。
  • 若使用非标准端口，确认防火墙与 Nginx 监听端口一致。