ubuntu下gitlab权限设置方法

Ubuntu下GitLab权限设置方法

一 系统与服务账户权限

• 运行身份与目录权限：确保 GitLab 以专用系统用户（通常为git:git）运行，数据目录（默认**/var/opt/gitlab**）属主与权限正确，避免越权访问。
  • 设置属主：sudo chown -R git:git /var/opt/gitlab
  • 设置权限：sudo chmod -R 755 /var/opt/gitlab
• 配置文件与生效：修改 /etc/gitlab/gitlab.rb 后需执行 sudo gitlab-ctl reconfigure 使配置生效。
• 端口与防火墙：开放 80/443/22（HTTP/HTTPS/SSH），例如使用 UFW：
  • sudo ufw allow 80,443,22/tcp
• 安全模块：如启用 SELinux/AppArmor，需为 GitLab 配置相应策略或临时设为宽容模式以便排查（生产环境不建议长期关闭 SELinux）。

二 身份与访问控制 RBAC

• 角色与可见性：项目可见性可为私有/内部/公开；成员角色包含 Guest/Reporter/Developer/Maintainer/Owner，权限由低到高逐级增强。
  • 常用角色职责：
    • Guest：创建 Issue、发表评论，不能读写代码。
    • Reporter：可 克隆 代码，不能提交，适合 QA/PM。
    • Developer：可克隆、开发、Push、分支管理等，适合普通开发。
    • Maintainer：可创建项目、打 Tag、配置保护分支、添加成员、编辑项目设置。
    • Owner：可设置访问权限与可见性、删除/迁移项目、管理组成员。
• 用户与组管理：
  • 创建用户与组：可通过 GitLab 界面或 Rake/API 批量管理（如 gitlab-rake gitlab:create_user、gitlab-rake gitlab:create_group）。
  • 添加成员与授权：进入项目或组的 Members 页面，添加用户并分配上述角色；组权限可被项目继承，也可单独覆盖。

三 仓库与分支保护实践

• 保护主分支：在项目的 Settings → Repository → Protected Branches 中，将 main/master 设为受保护，仅允许 Maintainer/Owner 合并与推送，必要时开启 Code Owner 审核。
• 合并请求流程：通过 Merge Request 进行代码审查与合入，结合 保护分支 策略，确保只有经过审核的代码进入主干。
• 可见性与访问控制：结合项目 Visibility Level（私有/内部/公开）与成员角色，形成“可见性 + 操作权限”的双重控制。

四 SSH 与 HTTPS 访问权限

• SSH 访问：
  • 用户侧：确保私钥权限为 600，公钥已添加到 GitLab 用户 SSH Keys。
    • chmod 600 ~/.ssh/id_rsa
  • 服务端：确认 /var/opt/gitlab 属主为 git:git，避免因目录权限不当导致 SSH 拉取失败。
• HTTPS 访问：
  • 建议启用 HTTPS 并配置有效证书，确保数据传输加密与浏览器信任链正确。

五 审计与运维安全建议

• 最小权限原则：仅授予完成工作所需的最小权限，定期清理不再需要的成员与权限。
• 多因素认证：为账户开启 MFA，降低凭证泄露风险。
• 日志与排障：通过 sudo gitlab-ctl tail 查看各组件日志，定位权限相关异常（如 Nginx、PostgreSQL、Sidekiq 等）。
• 防火墙与安全组：仅开放必要端口（80/443/22），限制来源 IP 段，减少攻击面。