GitLab平台使用与权限管理

概述

GitLab 的权限体系是企业级代码协作的安全基石。本文系统讲解 GitLab 权限管理的三大维度（注册限制、仓库可视性、用户权限），深入解析五级角色权限矩阵、保护分支配置策略、用户离职处理流程，并提供新员工入职到日常运维的完整权限管理实践。

前置知识

• GitLab Docker 部署完成（参见 09-GitLab的Docker安装部署）
• Git 分支管理基础（参见 03-子模块与多仓库）
• Git 仓库权限管理概念（参见 07-安全与审计）

学习目标

• 掌握 GitLab 权限管理三大维度的配置方法
• 理解五级角色（Guest → Owner）的权限边界
• 能够设计合理的保护分支策略
• 掌握用户离职的安全处理流程
• 建立完整的权限管理检查清单

一、权限体系三大维度

二、注册限制配置

2.1 配置路径

管理中心 → 设置 → 通用 → 注册限制

2.2 配置项说明

2.3 企业级配置建议

三、用户管理

3.1 创建用户

管理中心 → 用户 → 新用户

填写信息：姓名、用户名（登录用）、邮箱、访问类型（普通/管理员）。

初次创建时不能直接设置密码，需创建后进入用户编辑页面单独设置。

3.2 用户类型

3.3 批量用户管理（高级）

# 进入 GitLab Rails Console
docker exec -it gitlab gitlab-rails console

# 批量创建用户
users = [
  { name: '张三', username: 'zhangsan', email: 'zhangsan@company.com' },
  { name: '李四', username: 'lisi', email: 'lisi@company.com' }
]

users.each do |u|
  user = User.new(
    name: u[:name],
    username: u[:username],
    email: u[:email],
    password: 'InitialPassword123!',
    password_confirmation: 'InitialPassword123!',
    skip_confirmation: true
  )
  user.save!
  puts "Created user: #{u[:username]}"
end

四、项目角色权限矩阵

4.1 五级角色详解

4.2 角色分配建议

4.3 邀请成员

项目 → 管理 → 成员 → 邀请成员

操作步骤：搜索用户名/邮箱 → 选择角色 → 设置到期日（可选）→ 点击邀请。

五、保护分支配置

5.1 保护分支的核心作用

• 防止误删除重要分支
• 禁止强制推送（force push）
• 限制直接推送，强制通过 MR 合并
• 要求代码审查（Code Review）
• 可要求 CI/CD 通过后才能合并

5.2 配置路径

项目 → 设置 → 仓库 → 受保护的分支

5.3 规则配置

5.4 通配符规则示例

5.5 推荐保护策略

六、用户离职处理

6.1 用户状态对比

6.2 离职处理标准流程

6.3 批量禁用操作

docker exec -it gitlab gitlab-rails console

# 批量禁用离职用户
users_to_deactivate = ['user1', 'user2', 'user3']
users_to_deactivate.each do |username|
  user = User.find_by(username: username)
  if user
    user.deactivate!
    puts "Deactivated: #{username}"
  end
end

七、新员工入职流程

常见问题

最佳实践

1. 注册管控：企业内网部署必须禁用公开注册，账号由管理员统一创建
2. 最小权限原则：开发者选 Developer，组长选 Maintainer，避免过度授权
3. 保护分支分层：main 最严格（No one 推送），feature 适当放宽
4. 通配符批量保护：使用 feature-* 模式一次性保护同类型分支
5. 离职用禁用不用删除：保留历史提交记录的完整性
6. 定期审查：每季度检查成员权限、过期 Token、闲置账号

延伸阅读

• GitLab 权限文档
• 保护分支文档
• 用户管理文档