gitlab如何接入debianldap

在 GitLab（以 Omnibus 安装 为例）中接入 Debian / 通用 LDAP（如 OpenLDAP），主要通过修改 gitlab.rb 并重新配置实现。下面给你一套可落地的步骤。

一、前提条件

GitLab 已通过 Omnibus 安装（社区版 / 企业版均可）
已有可用的 LDAP 服务（如 Debian 上的 slapd）
知道以下 LDAP 信息：
- LDAP 地址（如 ldap://ldap.example.com:389）
- Base DN（如 dc=example,dc=com）
- 绑定用户 DN 和密码
- 用户 / 组对应的 objectClass 和属性

二、配置 LDAP（gitlab.rb）

编辑配置文件：

sudo vim /etc/gitlab/gitlab.rb

基础 LDAP 配置示例

gitlab_rails['ldap_enabled'] = true
gitlab_rails['ldap_servers'] = YAML.load <<-EOS
main:
  label: 'LDAP'
  host: 'ldap.example.com'
  port: 389
  uid: 'uid'                # Debian/OpenLDAP 常用 uid
  bind_dn: 'cn=admin,dc=example,dc=com'
  password: 'ldap_admin_password'
  encryption: 'plain'      # 或 'simple_tls' / 'start_tls'
  base: 'dc=example,dc=com'
  user_filter: ''          # 可限制用户范围
EOS

如果使用 TLS（推荐）

  encryption: 'simple_tls'
  ca_file: '/etc/ssl/certs/ca-certificates.crt'

三、常见 Debian LDAP 属性映射

Debian / OpenLDAP 用户通常为 inetOrgPerson 或 posixAccount

GitLab 字段	LDAP 属性
用户名	uid
邮箱	mail
姓名	cn

如需自定义：

  username: ['uid']
  email: ['mail']
  name: 'cn'

四、应用配置

sudo gitlab-ctl reconfigure

检查 LDAP 是否可用：

sudo gitlab-rake gitlab:ldap:check

输出中能看到 LDAP 用户即说明成功。

五、登录方式

登录页会出现 “LDAP” 标签
使用 LDAP 中的 uid + 密码登录
首次登录会自动创建 GitLab 用户

六、可选：禁止本地登录（仅 LDAP）

gitlab_rails['ldap_allow_admin_login'] = true
gitlab_rails['signin_enabled'] = false

七、常见问题

1. 用户登录提示“用户不存在”

base 写错
uid 不是实际属性
user_filter 限制过严

2. TLS 报错

确认证书路径
端口是否为 636（simple_tls）

3. Debian slapd 示例用户

dn: uid=alice,dc=example,dc=com
objectClass: inetOrgPerson
uid: alice
cn: Alice
mail: alice@example.com
userPassword: secret

如果你用的是 Docker GitLab 或 GitLab CE < 16，或想做 LDAP 分组同步，可以继续问我。