ubuntu上gitlab如何进行安全加固

Ubuntu上GitLab安全加固清单

一 基础网络与传输安全

• 仅开放必要端口：建议仅放行 TCP 22(SSH)、80(HTTP)、443(HTTPS)；如使用 UFW，可执行：sudo ufw allow ‘Nginx Full’ 与 sudo ufw allow ‘OpenSSH’，随后 sudo ufw enable。
• 强制启用 HTTPS：将 external_url 改为 https://域名；在 /etc/gitlab/gitlab.rb 中设置 nginx[‘redirect_http_to_https’] = true，并配置证书路径（见下节）。
• 获取并部署 TLS 证书：优先使用 Let’s Encrypt 的 Certbot 自动签发与续期，证书路径通常为 /etc/letsencrypt/live/yourdomain.com/。
• 加固 SSH 访问：禁用密码登录，仅允许 SSH 公钥认证；如需进一步降低噪声，可更改默认 SSH 端口 并同步更新防火墙放行规则。

二 身份与访问控制

• 启用 双因素认证（2FA）：在管理员后台 Admin Area → Settings → General 启用 2FA，强制或鼓励用户开启。
• 强化 密码策略：配置复杂度与定期更换策略，降低弱口令风险。
• 最小权限与定期审计：按 最小权限原则 配置项目/组/仓库访问；定期清理 闲置用户、过期令牌与访问授权。

三 数据安全与备份

• 配置自动备份：在 /etc/gitlab/gitlab.rb 中设置备份目录与保留时间，例如：gitlab_rails[‘backup_path’] = “/var/opt/gitlab/backups”；gitlab_rails[‘backup_keep_time’] = 604800（保留 7 天）。
• 定时任务备份：通过 crontab 每日执行 0 2 * * * /opt/gitlab/bin/gitlab-rake gitlab:backup:create。
• 异地与快照：将备份同步至 异地存储；如有条件，结合 LVM/ZFS 快照 做快速回滚与一致性保护。

四 系统与运行时加固

• 持续更新：保持 Ubuntu 系统 与 GitLab 为最新稳定版本，及时修补漏洞。
• 运行时加固：启用 AppArmor（Ubuntu 默认），必要时结合 auditd 进行关键行为与文件访问审计。
• 日志与监控：集中收集与保留 GitLab 日志，结合 Prometheus/Grafana 建立监控与告警，及时发现异常登录、暴力访问与资源异常。

五 快速配置示例

• 启用 HTTPS 与证书（Let’s Encrypt 示例）
  1. 安装 Certbot：sudo apt install -y certbot
  2. 获取证书：sudo certbot certonly --standalone -d yourdomain.com
  3. 配置 /etc/gitlab/gitlab.rb：
     external_url “https://yourdomain.com”
     nginx[‘redirect_http_to_https’] = true
     nginx[‘ssl_certificate’] = “/etc/letsencrypt/live/yourdomain.com/fullchain.pem”
     nginx[‘ssl_certificate_key’] = “/etc/letsencrypt/live/yourdomain.com/privkey.pem”
  4. 应用配置：sudo gitlab-ctl reconfigure
  5. 验证：访问 https://yourdomain.com 检查证书与锁标识
• 防火墙放行（UFW）
  • sudo ufw allow ‘Nginx Full’
  • sudo ufw allow ‘OpenSSH’
  • sudo ufw enable
• 自动备份（每日 2 点，保留 7 天）
  • /etc/gitlab/gitlab.rb：gitlab_rails[‘backup_path’] = “/var/opt/gitlab/backups”；gitlab_rails[‘backup_keep_time’] = 604800
  • crontab -e：0 2 * * * /opt/gitlab/bin/gitlab-rake gitlab:backup:create