一、为何选择GitLab私有化部署Docker？

在数字化转型浪潮中，代码管理平台的安全性、可控性和灵活性成为企业关注的焦点。传统公有云Git服务虽便捷，但存在数据泄露风险、功能定制受限等问题。GitLab私有化部署结合Docker容器技术，为企业提供了零依赖外部服务、完全自主可控的代码托管方案，尤其适合金融、医疗、政府等对数据安全要求严苛的行业。

Docker的轻量化、可移植性特点与GitLab的模块化设计完美契合。通过容器化部署，企业可快速在任意环境（物理机、虚拟机、云平台）构建一致的GitLab服务，避免因环境差异导致的部署失败。同时，Docker的隔离性有效防止了服务间的资源争抢，提升了系统稳定性。

二、部署前环境准备

1. 硬件配置建议

• 基础配置：4核CPU、8GB内存、50GB存储（适合10人以下团队）
• 推荐配置：8核CPU、16GB内存、200GB存储（支持50人并发操作）
• 存储选择：优先选用SSD硬盘，IO性能直接影响Git操作响应速度

2. 软件依赖安装

# Ubuntu 20.04示例
sudo apt update
sudo apt install -y curl apt-transport-https ca-certificates gnupg-agent software-properties-common
# 安装Docker CE
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -
sudo add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable"
sudo apt install -y docker-ce docker-ce-cli containerd.io
# 验证安装
sudo docker run hello-world

3. 网络架构设计

• 端口规划：
  • 80/443：Web访问
  • 22：SSH协议（可修改为非标准端口增强安全）
  • 8080：Prometheus监控（可选）
• 负载均衡：Nginx反向代理实现高可用
• 防火墙规则：仅开放必要端口，限制源IP访问

三、Docker化GitLab部署流程

1. 官方镜像获取

sudo docker pull gitlab/gitlab-ee:latest  # 企业版
# 或
sudo docker pull gitlab/gitlab-ce:latest  # 社区版

2. 数据持久化配置

创建数据卷容器（推荐方案）：

sudo docker run --name gitlab-data -v /srv/gitlab/config:/etc/gitlab \
-v /srv/gitlab/logs:/var/log/gitlab \
-v /srv/gitlab/data:/var/opt/gitlab \
alpine:latest /bin/sh

3. 容器启动参数详解

sudo docker run --detach \
--hostname gitlab.example.com \  # 必须与证书CN匹配
--publish 443:443 --publish 80:80 --publish 2222:22 \
--name gitlab \
--restart always \
--volume /srv/gitlab/config:/etc/gitlab \
--volume /srv/gitlab/logs:/var/log/gitlab \
--volume /srv/gitlab/data:/var/opt/gitlab \
gitlab/gitlab-ee:latest

关键参数说明：

• hostname：影响Git克隆地址，必须为可解析域名
• restart：确保容器意外退出后自动重启
• volume：三卷分离实现数据持久化

4. 初始配置修改

进入容器修改配置：

sudo docker exec -it gitlab bash
vi /etc/gitlab/gitlab.rb

必改项：

external_url 'https://gitlab.example.com'  # 必须与hostname一致
gitlab_rails['gitlab_shell_ssh_port'] = 2222  # 映射的SSH端口

应用配置：

sudo docker exec gitlab gitlab-ctl reconfigure

四、安全加固方案

1. 传输层安全

• 启用HTTPS（Let’s Encrypt免费证书）：

  sudo docker exec gitlab apt install -y certbot python3-certbot-nginx
  certbot --nginx -d gitlab.example.com --non-interactive --agree-tos --redirect

• 强制HTTPS重定向：

  # /etc/gitlab/gitlab.rb
  nginx['redirect_http_to_https'] = true

2. 认证授权增强

• 启用双因素认证：
  • 路径：Admin Area > Settings > General > Sign-in restrictions
• 禁用注册功能（仅内部使用）：

  gitlab_rails['gitlab_signup_enabled'] = false

3. 审计日志配置

# 启用操作日志
gitlab_rails['audit_log_enabled'] = true
gitlab_rails['audit_log_path'] = "/var/log/gitlab/audit.log"

五、运维优化实践

1. 备份策略

# 每日自动备份
sudo docker exec gitlab gitlab-backup create
# 备份文件存储于/var/opt/gitlab/backups

恢复流程：

sudo docker exec -it gitlab bash
gitlab-backup restore BACKUP=1612345678_2021_02_03_10.0.0

2. 性能调优

• 数据库优化：

  # /etc/gitlab/gitlab.rb
  postgresql['shared_buffers'] = "256MB"  # 内存的25%
  postgresql['work_mem'] = "4MB"

• Sidekiq并发控制：

  gitlab_rails['sidekiq_concurrency'] = 25  # 根据CPU核心数调整

3. 监控告警

• Prometheus集成：

  sudo docker exec gitlab apt install -y prometheus-node-exporter
  # 配置端口9100暴露

• 告警规则示例：
  ```yaml

  alert.rules.yml

  groups:
• name: gitlab.rules
  rules:
  • alert: HighMemoryUsage
    expr: (100 - (node_memory_MemAvailable_bytes / node_memory_MemTotal_bytes * 100)) > 85
    for: 5m
    labels:
    severity: warning
    ```

六、常见问题解决方案

1. 502 Bad Gateway错误

• 原因：Unicorn工作进程崩溃
• 排查步骤：

  sudo docker exec gitlab gitlab-ctl tail unicorn_stderr
  # 查看内存使用
  sudo docker exec gitlab free -h

• 解决方案：增加内存或调整Unicorn参数

2. Git克隆失败

• 检查SSH配置：

  sudo docker exec gitlab cat /etc/ssh/sshd_config | grep Port
  # 确认客户端使用的端口与配置一致

• 检查防火墙规则：

  iptables -L -n | grep 2222

3. 邮件发送失败

• 配置示例（SMTP）：

  gitlab_rails['smtp_enable'] = true
  gitlab_rails['smtp_address'] = "smtp.example.com"
  gitlab_rails['smtp_port'] = 587
  gitlab_rails['smtp_user_name'] = "user@example.com"
  gitlab_rails['smtp_password'] = "password"
  gitlab_rails['smtp_authentication'] = "login"
  gitlab_rails['smtp_enable_starttls_auto'] = true

七、升级与扩展

1. 版本升级流程

# 1. 备份当前数据
sudo docker exec gitlab gitlab-backup create
# 2. 停止旧容器
sudo docker stop gitlab
# 3. 删除旧容器（保留数据卷）
sudo docker rm gitlab
# 4. 拉取新版本镜像
sudo docker pull gitlab/gitlab-ee:15.0.0
# 5. 启动新容器（保持相同配置）

2. 水平扩展方案

• Runner集群：

  # 注册共享Runner
  sudo docker exec -it gitlab gitlab-runner register \
  --url https://gitlab.example.com/ \
  --registration-token REGISTRATION_TOKEN \
  --executor docker \
  --description "docker-runner" \
  --tag-list "docker,shared" \
  --run-untagged="true"

• 数据库分片：对于超大规模部署，可配置PostgreSQL分片集群

通过Docker容器化部署GitLab，企业可获得分钟级部署、毫秒级恢复、按需扩展的代码管理平台。本文提供的方案已在多家中大型企业落地，实测可支撑500+开发者并发使用。建议定期进行渗透测试和性能基准测试，持续优化部署架构。