Linux 上部署与运维 GitLab 的安全设置要点
一 基础网络与传输安全
- 仅开放必要端口：通过 firewalld/ufw/iptables 仅放行 HTTP 80/HTTPS 443 与 SSH 22，对管理口或敏感网段实施 IP 白名单。
- 强制启用 HTTPS/TLS：为域名配置有效证书（如 Let’s Encrypt），对外禁用明文访问。
- 加固 SSH：禁用 SSHv1，必要时修改默认端口，启用登录失败锁定与速率限制，优先使用 SSH 密钥 而非口令。
- 关闭不必要服务与端口：减少攻击面，仅保留 GitLab 所需组件与端口。
- 容器场景：使用 官方 GitLab 镜像，最小化端口映射，持久化数据卷，谨慎使用特权模式。
二 身份与访问控制
- 启用 双因素认证 2FA：全量覆盖管理员与高权限账户，降低凭证泄露风险。
- 强化密码策略：设置复杂度与周期策略，减少弱口令带来的风险。
- 基于 RBAC 的细粒度授权：按 Guest/Reporter/Developer/Maintainer/Owner 分配权限，遵循 最小权限原则。
- 项目可见性控制：按需求设置为 私有/内部/公开，对外最小化暴露。
- 组与成员治理：定期审计组成员与权限分配，清理离职与闲置账号。
三 系统与主机加固
- 账户与登录安全：清理无用账户，限制 root 远程登录，统一使用 sudo 授权。
- 文件与目录权限：严格控制 /etc/gitlab、/var/opt/gitlab、/var/log/gitlab 等关键目录权限，必要时用 chattr 保护关键配置文件。
- 内核与网络参数：在 /etc/sysctl.conf 启用 SYN 洪水防护、禁止 ICMP 重定向、限制核心转储，降低内核层风险。
- 日志审计与留存：启用 auditd 审计关键系统调用，集中化日志存储，使用 logrotate 规范归档与保留周期。
- 备份与恢复演练：定期执行 GitLab 备份，验证可用性与恢复流程，确保灾难恢复能力。
四 GitLab 应用与数据安全
- 及时更新与补丁管理：第一时间升级 GitLab CE/EE 与依赖组件，修复已知漏洞。
- 仓库与提交安全：通过 .gitignore 与提交前检查，防止 密钥/证书/配置文件 等敏感信息入库；必要时对敏感文件进行 加密。
- CI/CD 安全：最小权限运行 Runner，隔离环境、镜像与凭据；对 pipeline 权限与触发条件进行严格约束。
- 漏洞响应：关注官方安全通告，出现高危漏洞时优先升级，并临时收紧网络与账号策略。
五 监控 审计与应急响应
- 集中监控与告警：对 GitLab 日志、系统资源、网络流量与登录异常进行实时监控与告警。
- 审计追踪：启用 auditd 与 GitLab 自身日志，保留足够周期以支持取证与合规。
- 应急响应预案：制定并演练 备份恢复、隔离断网、漏洞修补、通报与复盘 流程，缩短 MTTD/MTTR。
- 安全配置核查：定期审查 firewall、SSH、TLS、2FA、权限矩阵 等关键配置，形成基线并持续迭代。
