ubuntu gitlab最佳实践分享

Ubuntu上GitLab最佳实践分享

一、安装与配置最佳实践

1. 系统与环境准备
   选择稳定的Ubuntu LTS版本（如22.04.5 LTS），确保系统包更新至最新（sudo apt update && sudo apt upgrade -y）；安装必要依赖（curl、openssh-server、ca-certificates、postfix），其中postfix用于GitLab邮件通知。
2. 添加GitLab官方仓库
   使用官方脚本添加GitLab存储库（curl -sS https://packages.gitlab.com/install/repositories/gitlab/gitlab-ce/script.deb.sh | sudo bash），避免第三方源的安全风险。
3. 配置优化
   修改/etc/gitlab/gitlab.rb文件，设置external_url为服务器域名或IP（如http://your-gitlab-domain.com）；启用HTTPS（通过Let’s Encrypt免费获取证书：sudo apt install certbot python3-certbot-nginx && sudo certbot --nginx -d your-gitlab-domain.com）；配置防火墙（sudo ufw allow http && sudo ufw allow https），限制仅必要端口访问。

二、性能优化最佳实践

1. 硬件配置
   使用高性能硬件：至少4核CPU、8GB内存（建议16GB以上用于生产环境）、SSD存储（提升IO性能）；网络建议使用100Mbps及以上带宽。
2. GitLab配置调整
   根据服务器性能调整并发连接数（gitlab_rails['rack_attack_git_basic_auth']）、缓存设置（启用Redis缓存：redis['enable'] = true）；启用CDN加速静态资源访问，减少用户延迟。
3. 数据库优化
   使用最新版PostgreSQL（GitLab推荐版本），调整连接池大小（postgresql['max_connections'] = 100）、共享缓冲区（postgresql['shared_buffers'] = "25%"）；定期优化数据库索引（通过GitLab内置工具自动优化）。
4. 存储配置优化
   使用SSD作为主存储介质；对于大附件、备份文件等非核心数据，配置对象存储（如Amazon S3或MinIO），减轻主存储压力。
5. 定期清理
   清理无用分支（通过git branch -d或GitLab UI删除）、旧日志文件（/var/log/gitlab/目录）；使用Git垃圾回收功能（sudo gitlab-rake gitlab:gc）压缩仓库数据，减少数据库负担。

三、安全性最佳实践

1. 基础安全配置
   配置HTTPS（强制加密数据传输）；启用防火墙限制访问端口；设置访问控制（通过GitLab用户/组权限管理，遵循最小权限原则）；配置SSH密钥认证（禁用密码认证，/etc/ssh/sshd_config中设置PasswordAuthentication no）。
2. 高级安全措施
   启用双因素认证（2FA）（用户设置→账户→启用2FA），提升账户安全性；定期备份数据（sudo gitlab-rake gitlab:backup:create），备份文件存储在/var/opt/gitlab/backups目录，测试恢复流程（sudo gitlab-rake gitlab:backup:restore BACKUP=timestamp）；及时升级GitLab至最新稳定版本（sudo apt update && sudo apt install gitlab-ce），获取安全补丁。
3. 代码安全
   通过.gitignore文件忽略敏感信息（如*.key、*.env）；检查提交内容（使用Git钩子或第三方工具），防止敏感信息上传；配置代码扫描（GitLab内置的SAST/Dependency Scanning功能），识别代码漏洞。

四、项目管理与CI/CD最佳实践

1. 分支管理
   采用Git Flow或GitLab Flow工作流（如main分支用于生产、develop分支用于集成、feature/*分支用于开发），确保代码稳定性；定期清理不再使用的分支。
2. CI/CD集成
   编写.gitlab-ci.yml文件定义自动化任务（如构建、测试、部署）；使用GitLab Runner执行CI/CD流程（注册Runner：sudo gitlab-runner register），提升开发效率。
3. 代码审查
   通过Merge Request（MR）进行代码审查，要求至少1名团队成员审核通过后方可合并；使用内联评论功能，针对性提出修改意见。
4. 权限管理
   根据角色分配权限（如Guest（只读）、Reporter（查看报告）、Developer（推送代码）、Maintainer（合并MR）、Owner（管理项目）），避免未授权操作。

五、监控与维护最佳实践

1. 监控与日志
   使用Prometheus+Grafana监控系统资源（CPU、内存、磁盘）、GitLab性能指标（如请求响应时间、队列长度）；开启GitLab日志功能（/var/log/gitlab/目录），定期清理过期日志（如保留7天）。
2. 定期更新与维护
   每周检查GitLab更新（sudo apt list --upgradable | grep gitlab-ce），及时升级至最新稳定版本；每月测试备份恢复流程，确保数据可恢复；每季度审查权限设置，调整用户角色。