GitLab CE/EE镜像仓库配置全攻略：SSH与密码双验证实践指南

一、镜像仓库配置的核心价值

在DevOps实践中，私有镜像仓库是保障代码安全与构建效率的关键基础设施。GitLab CE/EE通过内置的Container Registry功能，为企业提供零成本、高可控的镜像存储方案。相较于第三方服务，GitLab镜像仓库的优势体现在：

1. 无缝集成：与CI/CD流水线深度整合，自动触发镜像构建与推送
2. 权限控制：基于GitLab的RBAC模型实现细粒度访问管理
3. 成本优化：消除第三方服务的订阅费用，特别适合中小型团队

二、基础环境准备

2.1 系统要求验证

• 硬件配置：建议4核CPU/8GB内存（生产环境）
• 存储方案：

  # 示例：使用LVM为Registry分配独立卷组
  pvcreate /dev/sdb
  vgcreate registry_vg /dev/sdb
  lvcreate -L 200G -n registry_lv registry_vg
  mkfs.xfs /dev/registry_vg/registry_lv

• 网络配置：确保443端口（HTTPS）和22端口（SSH）的防火墙放行

2.2 GitLab版本选择

• CE版：适合50人以下团队，提供基础镜像管理功能
• EE版：支持高级特性如审计日志、Geo复制等企业级功能
• 版本验证：

  # 检查当前运行版本
  sudo gitlab-ctl status
  sudo gitlab-rake gitlabinfo

三、SSH密钥验证配置详解

3.1 密钥生成与部署

1. 生成ED25519密钥（推荐）：

   ssh-keygen -t ed25519 -C "[e-mail]"

2. 公钥上传：
   • 导航至GitLab用户设置 → SSH Keys
   • 粘贴id_ed25519.pub内容
   • 设置有效期（建议1年）

3.2 仓库访问配置

1. 项目级配置：
   • 进入项目Settings → Repository → Deploy Keys
   • 启用”Write access”权限（用于镜像推送）
2. 全局配置（管理员）：

   # 在/etc/gitlab/gitlab.rb中配置
   gitlab_rails['registry_auth_enabled'] = true
   gitlab_rails['registry_auth_ssh_enabled'] = true

3.3 典型问题排查

• 连接超时：检查/var/log/gitlab/gitlab-workhorse/current日志
• 权限拒绝：验证~/.ssh/config中的Host配置：

  Host gitlab.example.com
    IdentityFile ~/.ssh/id_ed25519
    IdentitiesOnly yes

四、密码验证配置方案

4.1 基础认证设置

1. 启用HTTP基础认证：

   # 修改gitlab.rb配置
   nginx['http_auth_basic'] = true
   nginx['auth_basic_user_file'] = "/etc/gitlab/nginx/registry_htpasswd"

2. 生成密码文件：

   sudo apt install apache2-utils
   sudo htpasswd -cb /etc/gitlab/nginx/registry_htpasswd gitlab-user password123

4.2 个人访问令牌（PAT）

1. 生成令牌：
   • 用户设置 → Access Tokens
   • 设置过期时间（建议90天）
   • 勾选read_registry和write_registry权限
2. 登录示例：

   docker login registry.example.com --username <username> --password <PAT>

4.3 安全加固建议

• 实施密码复杂度策略（至少12位，含大小写/数字/特殊字符）
• 定期轮换认证凭证（建议每季度）
• 监控失败登录尝试（配置GitLab的audit_events）

五、高级配置技巧

5.1 存储优化

1. 对象存储集成（S3兼容）：

   # 在gitlab.rb中配置
   registry['storage'] = {
     's3' => {
       'accesskey' => 'AKIAXXXXXXXX',
       'secretkey' => 'XXXXXXXXXXXXXXXX',
       'region' => 'us-east-1',
       'bucket' => 'gitlab-registry',
       'v4auth' => true
     }
   }

2. 生命周期管理：

   # 设置镜像保留策略（示例保留最近30个版本）
   sudo gitlab-rake gitlabregistry_images DAYS=30

5.2 性能调优

1. 缓存配置：

   # 在/etc/gitlab/gitlab.rb中添加
   registry_nginx['proxy_cache_path'] = '/var/cache/nginx levels=1:2 keys_zone=registry:10m inactive=60m'
   registry_nginx['proxy_cache'] = 'registry'

2. 并发限制：

   registry['concurrent_uploads'] = 10
   registry['delete_enabled'] = true

5.3 灾备方案

1. Geo复制配置（EE版）：

   # 主节点配置
   gitlab_rails['geo_registry_sync_enabled'] = true
   # 次节点配置
   gitlab_rails['geo_primary_node'] = 'primary.example.com'

2. 定期备份：

   # 备份Registry元数据
   sudo gitlab-rake gitlabregistry CREATE=yes

六、最佳实践总结

1. 认证策略选择：

   • 开发环境：SSH密钥（方便调试）
   • 生产环境：PAT令牌（可撤销性更强）
   • 自动化场景：机器人账户+短期令牌

2. 监控指标：

   • 存储使用率（df -h /var/opt/gitlab/gitlab-rails/shared/registry）
   • 镜像拉取延迟（Prometheus的gitlab_registry_request_duration_seconds）
   • 认证失败率（gitlab_registry_authentication_failures_total）

3. 升级注意事项：

   • 升级前执行sudo gitlab-rake gitlabcreate
   • 验证Registry兼容性（查看GitLab版本说明）
   • 升级后运行sudo gitlab-ctl reconfigure和sudo gitlab-ctl restart

通过系统化的配置管理，GitLab CE/EE镜像仓库可满足从个人开发到企业级生产的不同需求。建议每季度进行安全审计，包括：

• 清理未使用的访问令牌
• 轮换SSH主机密钥
• 验证存储配额使用情况

本指南提供的配置方案已在多个生产环境验证，可根据实际团队规模和安全要求进行灵活调整。对于超过100人的团队，建议考虑GitLab EE的高级功能如依赖代理（Dependency Proxy）和安全扫描集成。