从零开始：GitLab 自托管部署与 DevOps 环境搭建指南

1. 为什么选择自托管 GitLab对于中小型技术团队来说代码管理是研发流程的核心命脉。我见过太多团队在初期使用第三方托管服务随着业务增长却面临三大痛点代码安全焦虑、定制化需求无法满足、CI/CD 集成受限。自托管 GitLab 就像把金库建在自己家里既能享受开源版本的全部功能又能完全掌控数据主权。去年我们团队迁移到自托管方案后最直观的感受是 CI 任务执行速度提升了 3 倍。因为所有计算资源都在内网一个原本需要 15 分钟的构建流程现在 5 分钟就能完成。更重要的是可以自由定制工作流比如我们为硬件团队特别开发了 FPGA 编译加速模块这在 SaaS 版本上是无法实现的。自托管方案特别适合以下场景涉及敏感数据的金融、医疗行业项目需要深度定制 CI/CD 流水线的物联网开发有严格合规要求的政府或企业项目研发团队分布在多个地域但需要统一管理2. 部署前的硬件准备2.1 服务器选型建议根据我们为 20 企业部署的经验GitLab 对硬件的要求主要取决于团队规模。对于 10 人左右的初创团队我推荐以下配置CPU: 4核以上建议 Intel Xeon E5 或同等性能 内存: 8GB最小4GB建议16GB以获得更好体验 存储: 100GB SSD代码仓库 500GB HDD备份 网络: 千兆网卡实测发现内存是性能瓶颈的关键。当内存不足时GitLab 会频繁使用 swap 空间导致页面响应速度下降。我曾帮一个客户将内存从 4GB 升级到 8GB502 错误出现频率立即降低了 90%。2.2 操作系统优化在 CentOS 7 上部署时需要特别注意 SELinux 和防火墙设置。以下是必须执行的预处理命令# 关闭 SELinux生产环境建议配置策略而非直接关闭 setenforce 0 sed -i s/SELINUXenforcing/SELINUXdisabled/g /etc/selinux/config # 防火墙放行必要端口 firewall-cmd --permanent --add-servicehttp firewall-cmd --permanent --add-servicehttps firewall-cmd --permanent --add-servicessh firewall-cmd --reload对于 Ubuntu 系统还需要额外处理 apparmor 配置。建议新建/etc/apparmor.d/gitlab文件并写入以下内容#include tunables/global /opt/gitlab/** r, /var/opt/gitlab/** rw,3. 一步步安装 GitLab3.1 依赖安装与配置很多教程会忽略 Postfix 的配置细节但这恰恰是后续邮件通知能否正常工作的关键。以下是完整流程# 安装基础依赖 yum install -y curl policycoreutils openssh-server openssh-clients postfix # 配置 Postfix选择 Internet Site 类型 postconf -e inet_protocols ipv4 postconf -e inet_interfaces all postconf -e mydestination \$myhostname, localhost.\$mydomain, localhost systemctl enable postfix systemctl start postfix3.2 软件包安装建议使用清华大学镜像源加速下载特别是国内服务器wget https://mirrors.tuna.tsinghua.edu.cn/gitlab-ce/yum/el7/gitlab-ce-15.3.2-ce.0.el7.x86_64.rpm rpm -ivh gitlab-ce-15.3.2-ce.0.el7.x86_64.rpm安装完成后不要立即启动先修改关键配置。打开/etc/gitlab/gitlab.rb找到以下配置项external_url http://your-domain.com # 必须配置真实访问地址 gitlab_rails[gitlab_shell_ssh_port] 2222 # 修改SSH端口避免冲突 nginx[listen_port] 8080 # 非80端口时需要设置3.3 初始化与安全加固执行初始化命令后立即修改 root 密码gitlab-ctl reconfigure # 耗时约3-5分钟 gitlab-rake gitlab:password:reset我强烈建议开启双重验证2FA。在管理区域找到「Settings → General → Sign-in restrictions」启用以下选项Require all users to set up two-factor authenticationPrevent password changes by users4. 基础运维管理4.1 服务监控技巧GitLab 内置了 Prometheus 监控但默认配置可能不够直观。推荐使用以下命令查看关键指标# 实时查看请求延迟 gitlab-ctl tail prometheus | grep http_request_duration_seconds # 监控Sidekiq队列积压 watch -n 5 gitlab-rails runner puts Sidekiq::Queue.new(\default\).size当内存使用超过 70% 时可以临时清理缓存gitlab-rake cache:clear gitlab-ctl restart sidekiq4.2 备份与恢复完整的备份应该包含配置、数据和密钥三部分# 常规备份自动包含数据库和仓库 gitlab-backup create # 手动备份配置文件 umask 077 tar -cf /var/opt/gitlab/backups/$(date %s)_gitlab_config.tar /etc/gitlab恢复时需要特别注意版本一致性# 先停止相关服务 gitlab-ctl stop unicorn gitlab-ctl stop sidekiq # 恢复数据BACKUP备份文件名不含_TIMESTAMP部分 gitlab-backup restore BACKUP1234567890 # 恢复配置 tar -xf /path/to/config.tar -C /5. 集成 DevOps 工具链5.1 与 Jenkins 的深度集成在 Jenkins 中安装 GitLab Plugin 后需要在 GitLab 创建专用访问令牌进入「Settings → Access Tokens」创建 scope 包含api和read_repository的 token在 Jenkins 的「Manage Jenkins → Configure System」中添加 GitLab 连接一个实用的 Pipeline 示例pipeline { agent any triggers { gitlab( triggerOnPush: true, triggerOnMergeRequest: true, branchFilterType: All ) } stages { stage(Build) { steps { sh mvn clean package archiveArtifacts artifacts: target/*.jar, fingerprint: true } } stage(Test) { steps { sh mvn test junit target/surefire-reports/*.xml } } } }5.2 容器化部署方案对于 Kubernetes 环境可以使用官方 Helm Charthelm repo add gitlab https://charts.gitlab.io helm install gitlab gitlab/gitlab \ --set global.hosts.domainyour-domain.com \ --set certmanager-issuer.emailyouremail.com特别注意 PV 的配置建议使用 StorageClass 动态供应global: persistence: enabled: true storageClass: nfs-client size: 50Gi6. 高级安全配置6.1 网络层防护在/etc/gitlab/gitlab.rb中添加以下配置启用 IP 白名单gitlab_rails[rack_attack_git_basic_auth] { enabled true, ip_whitelist [192.168.1.0/24], maxretry 5, findtime 60, bantime 3600 }6.2 仓库加密方案对于特别敏感的项目可以使用 git-crypt 实现透明加密# 在本地仓库初始化 git-crypt init echo *.key filtergit-crypt diffgit-crypt .gitattributes git add .gitattributes然后在 GitLab 的 CI/CD 变量中添加GIT_CRYPT_KEY并在 pipeline 中添加解密步骤before_script: - echo $GIT_CRYPT_KEY | base64 -d /tmp/key - git-crypt unlock /tmp/key7. 性能调优实战7.1 数据库优化PostgreSQL 是 GitLab 的性能瓶颈之一。建议调整/var/opt/gitlab/postgresql/data/postgresql.confshared_buffers 2GB # 建议内存的25% work_mem 16MB # 每个查询可用内存 maintenance_work_mem 512MB # 维护操作内存 effective_cache_size 6GB # 预估的磁盘缓存大小 random_page_cost 1.1 # SSD存储建议值7.2 Sidekiq 队列分离高负载环境下应该分离不同的 Sidekiq 队列sidekiq[queues] [ default,5, mailers,1, web_hooks,1, repository_update,3 ]可以通过监控界面观察队列状态http://your-gitlab/admin/sidekiq/queues8. 故障排查指南8.1 常见错误解决502 错误90% 的情况是内存不足导致。检查/var/log/gitlab/nginx/gitlab_error.log如果看到connect() to unix:/var/opt/gitlab/gitlab-workhorse/sockets/socket failed需要gitlab-ctl restart unicorn gitlab-ctl restart sidekiq仓库同步失败检查/var/opt/gitlab/gitlab-shell/logs/下的日志常见问题是权限错误chown -R git:git /var/opt/gitlab/git-data gitlab-ctl restart8.2 日志分析技巧使用以下命令可以快速定位问题# 实时查看所有组件日志 gitlab-ctl tail # 只查看数据库慢查询 gitlab-ctl tail postgresql | grep duration: [0-9]{4}\. # 统计API错误率 grep api/v4 /var/log/gitlab/nginx/gitlab_access.log | awk {print $9} | sort | uniq -c对于复杂问题可以生成系统状态快照gitlab-rake gitlab:env:info status.log gitlab-rake gitlab:check check.log