CentOS中GitLab如何设置权限管理

CentOS中GitLab权限管理设置指南

一、基础环境权限配置

在设置GitLab权限前，需确保系统目录、用户及服务的权限正确，避免因权限问题导致服务异常或安全隐患。

1. GitLab运行用户与数据目录权限

GitLab需以专用用户（默认git）运行，且数据目录需归属该用户。执行以下命令：

# 创建git用户（若未创建）
sudo adduser git --system --shell /bin/bash --gecos 'Git Version Control' --disabled-login --home /var/opt/gitlab

# 设置数据目录所有者（GitLab默认数据目录为/var/opt/gitlab）
sudo chown -R git:git /var/opt/gitlab

# 设置目录权限（755为推荐权限，确保git用户可读写，其他用户可读）
sudo chmod -R 755 /var/opt/gitlab

2. GitLab配置文件权限

编辑/etc/gitlab/gitlab.rb（GitLab主配置文件），确保其所有者为git用户：

sudo chown git:git /etc/gitlab/gitlab.rb

修改配置后需重新加载：

sudo gitlab-ctl reconfigure
sudo gitlab-ctl restart

3. SELinux设置（若启用）

若系统启用SELinux，需调整策略以避免拦截GitLab操作。临时关闭SELinux测试（生产环境建议配置正确策略）：

sudo setenforce 0

查看SELinux状态：

sestatus

参考GitLab官方文档配置永久策略：GitLab SELinux配置。

4. 防火墙设置

允许HTTP（80）和HTTPS（443）流量通过防火墙：

sudo firewall-cmd --permanent --zone=public --add-service=http
sudo firewall-cmd --permanent --zone=public --add-service=https
sudo firewall-cmd --reload

二、GitLab权限核心设置

GitLab权限管理主要通过角色分配、项目访问级别及分支保护实现，覆盖从用户到项目的精细化控制。

1. GitLab角色与权限说明

GitLab内置5种核心角色，每种角色对应不同的操作权限：

Guest：仅能查看项目代码、提交问题（issue）；
Reporter：可克隆代码、查看问题、提交评论；
Developer：能推送代码、创建分支/合并请求（MR）、查看CI/CD流水线；
Maintainer：可管理项目成员、创建标签、保护分支、编辑项目设置；
Owner：拥有项目完全控制权（包括删除项目、转让所有权）。

2. 用户与组管理

创建系统用户（可选，用于关联GitLab账户）：

sudo useradd -m -s /bin/bash gitlab-user
sudo passwd gitlab-user

创建GitLab用户：通过Web界面（Admin Area → Users → New User）或命令行创建：

# 命令行创建（需进入gitlab-rails console）
sudo gitlab-rails console
user = User.new(username: 'new_user', email: 'new_user@example.com', password: 'password123', password_confirmation: 'password123')
user.admin = false  # 是否为管理员
user.save
exit

3. 项目权限分配

项目创建：用户登录后点击“New project”，填写项目名称并选择可见性级别（公开/内部/私有）：
- 公开（Public）：任何人可访问；
- 内部（Internal）：登录用户可访问；
- 私有（Private）：仅项目成员可访问。
添加项目成员：进入项目→左侧菜单“Members”→点击“Invite member”，输入用户名/邮箱，选择角色（如Developer）→点击“Add to project”。

4. 分支保护规则

为防止误操作，可设置保护分支（如main分支），限制推送/合并权限：

进入项目→左侧菜单“Settings”→“Repository”→“Protected branches”；
选择需保护的 branch（如main），设置：
- Allowed to push：允许推送的用户/角色（如Maintainer）；
- Allowed to merge：允许合并的用户/角色（如Maintainer）；
- 勾选“Require a merge request before merging”（强制通过MR合并）。

5. LDAP集成权限管理（可选）

若企业使用LDAP（如Active Directory），可通过GitLab同步LDAP用户及组，实现集中权限管理：

编辑/etc/gitlab/gitlab.rb，启用LDAP配置：

gitlab_rails['ldap_enabled'] = true
gitlab_rails['ldap_servers'] = {
  'main' => {
    'label' => 'LDAP',
    'host' => 'ldap.example.com',
    'port' => 389,
    'uid' => 'uid',  # LDAP用户标识字段（如uid）
    'bind_dn' => 'cn=admin,dc=example,dc=com',  # LDAP管理员DN
    'password' => 'ldap_password',  # LDAP管理员密码
    'user_search_base' => 'dc=example,dc=com',  # 用户搜索基础DN
    'user_search_filter' => '(uid=%{username})'  # 用户搜索过滤器
  }
}

同步LDAP组到GitLab：

gitlab_rails['ldap_group_sync_enabled'] = true
gitlab_rails['ldap_group_base_dn'] = 'ou=groups,dc=example,dc=com'  # 组搜索基础DN
gitlab_rails['ldap_group_sync_strategy'] = 'group'  # 同步策略（group/user）

运行同步并重启GitLab：

sudo gitlab-ctl reconfigure
sudo gitlab-ctl restart

在GitLab中映射LDAP组到角色：进入项目→“Settings”→“Members”→“LDAP groups”，选择LDAP组并分配角色。

三、权限验证与维护

验证用户权限：以普通用户身份登录GitLab，尝试访问项目、推送代码或修改设置，确认权限是否符合预期；
定期审查权限：通过“Admin Area”→“Users”或“Groups”查看用户/组权限，移除离职用户或调整不再需要的权限；
备份权限配置：定期备份/etc/gitlab/gitlab.rb及项目配置，避免配置丢失。